Angular SSR: Denial of Service (DoS) via Infinite Loop on Malformed DOCTYPE — GHSA-F67J-2JQW-JPQ7

GitHub · GitHub · GHSA-F67J-2JQW-JPQ7

ID
GHSA-F67J-2JQW-JPQ7

Datum
2026-09-28

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.7

Zusammenfassung

A Denial of Service (DoS) vulnerability exists in `@angular/platform-server`'s DOM emulation parser (`domino`). When processing untrusted user input containing an incomplete DOCTYPE declaration ending with whitespace before EOF (such as `<!DOCTYPE html `), the HTML parser enters an infinite synchronous loop, pegging CPU utilization at 100% and completely freezing the Node.js server process. ### Technical…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-28

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.7 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: @angular/platform-server.

Produkt

npm: @angular/platform-server

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-F67J-2JQW-JPQ7
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-28
Letzte Quellenaktivität: 2026-09-28
Weitere Kennungen: CVE-2026-101895
Kuratiert von: hlukh.ch