PT-2025-48196 · Google · Angular

CVE-2025-66035 · Publicado 2025-11-26 · Atualizado 2026-07-09

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Versões do Angular anteriores à 19.2.16 Versões do Angular anteriores à 20.3.14 Versões do Angular anteriores à 21.0.1

Descrição O HttpClient do Angular possui um mecanismo de proteção integrado contra Cross-Site Request Forgery (XSRF). Ao processar requisições com URLs relativas a protocolo (URLs começando com '//'), o sistema trata incorretamente essas requisições como sendo de mesma origem. Isso resulta na adição automática do token XSRF ao cabeçalho X-XSRF-TOKEN, levando à divulgação não autorizada do token para um domínio controlado por um atacante. Trata-se de um vazamento de credenciais causado pela lógica da aplicação.

Recomendações Versões do Angular anteriores à 19.2.16: Atualize para a versão 19.2.16 ou posterior. Versões do Angular anteriores à 20.3.14: Atualize para a versão 20.3.14 ou posterior. Versões do Angular anteriores à 21.0.1: Atualize para a versão 21.0.1 ou posterior. Evite usar URLs relativas a protocolo (URLs começando com '//') em requisições do HttpClient. Utilize caminhos relativos fixos (começando com uma única '/') ou URLs absolutas completamente qualificadas e confiáveis para toda a comunicação com o backend.

Exploit

Correção

Enumeração de Fraquezas

CWE-359

CWE-201

Identificadores relacionados

CVE-2025-66035

GHSA-58C5-G7WP-6W37

Produtos afetados

Angular

Referências · 33

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/66xxx/CVE-2025-66035.json · Exploit
• https://github.com/angular/angular/releases/tag/20.3.14 · Nota
• https://github.com/angular/angular/commit/0276479e7d0e280e0f8d26fa567d3b7aa97a516f · Nota
• https://github.com/angular/angular/security/advisories/GHSA-58c5-g7wp-6w37 · Nota
• https://github.com/angular/angular/commit/05fe6686a97fa0bcd3cf157805b3612033f975bc · Nota
• https://github.com/angular/angular · Nota
• https://github.com/angular/angular/commit/3240d856d942727372a705252f7c8c115394a41e · Nota
• https://github.com/angular/angular/releases/tag/21.0.1 · Nota
• https://github.com/angular/angular/releases/tag/19.2.16 · Nota
• https://t.me/pentestingnews/71258 · Publicação no Telegram
• https://reddit.com/r/VulnMatter/comments/1p9ah42/resumen_diario_de_vulnerabilidades_29112025 · Publicação no Reddit
• https://reddit.com/r/angular/comments/1pd8kh0/why_the_spike_in_angular_cves_this_year · Publicação no Reddit
• https://twitter.com/CVEnew/status/1993814645715460098 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-66035 · Aviso do Fabricante
• https://twitter.com/Karma_X_Inc/status/1993941216304521355 · Publicação no Twitter