ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
إطار عمل Angular هو منصة تطوير لبناء تطبيقات الويب للجوال سطح المكتب باستخدام TypeScript/JavaScript ولغات أخرى. قبل الإصدارات 20.3.33 و21.2.25 و22.2.1، يفشل @angular/router في التصيير من جهة الخادم في Node.js في طلب أجزاء URL للمنافذ المساعدة لمطابقة المسارات المُكوّنة لأسمائها. الطلبات المُصممة خصيصاً التي تحتوي على مجموعات منافذ مسار فارغة متعددة غير مُكوّنة يمكنها تقييم تكوين المسار بشكل متكرر، وإنشاء أشجار ActivatedRouteSnapshot مكررة، وتنفيذ حراس ومحللات canMatch، ونسخ معاملات المسار ومعلمات الاستعلام لكل منفذ. يمكن لمهاجم عن بُعد دون مصادقة استنفاد ذاكرة Node.js أو وحدة المعالجة المركزية وإنهاء عامل SSR عند تمكين SSR، أو عندما يحتوي مستوى المسار على مسار ذي مسار فارغ أو منفذ مسمى، أو عندما تقوم البنية الأساسية بتحويل هدف الطلب، ويكون العامل ذا ذاكرة محدودة. يُعد تخصيص الذاكرة مؤقتاً وليس تسرباً دائماً، ولا تتأثر تطبيقات الصفحة الواحدة (SPA) التي تعمل على جانب العميل والتصيير المسبق وقت الإنشاء. تم إصلاح هذه المشكلة في الإصدارات 20.3.33 و21.2.25 و22.2.1.
المعالجة
المراجع
- مرجعhttps://github.com/angular/angular/security/advisories/GHSA-62vg-58rm-qff7
- مرجعhttps://github.com/angular/angular/issues/70932
- مرجعhttps://github.com/angular/angular/issues/70997
- مرجعhttps://github.com/angular/angular/pull/71055
- مرجعhttps://github.com/angular/angular/commit/a83f8119acd466b524ae0113096ed188358d6d6c
- مرجعhttps://github.com/angular/angular/commit/b0d2ba0f54e21cb57ea5a0ca0d8e6065f28e23a0
- مرجعhttps://github.com/angular/angular/commit/e9bf52aa03a3b9b302c33ffbc967ef0e1de5fb79
- مرجعhttps://github.com/angular/angular/releases/tag/v20.3.33
- مرجعhttps://github.com/angular/angular/releases/tag/v21.2.25
- مرجعhttps://github.com/angular/angular/releases/tag/v22.2.1