GitHub 安全公告库 (GHSA)·2026-10-21 04:37· 2 天前精选AI 评分58

Angular HttpClient 修复不完整导致 XSRF Token 经 URL 解析差异外泄（CVE-2025-66035 后续）

@angular/common: XSRF Token Leakage via URL Parsing Discrepancy in Angular HTTP Client (Incomplete fix for CVE-2025-66035)

AI 导读

GitHub 安全公告指出，@angular/common 的 HttpClient 对 CVE-2025-66035 的修复不完整，xsrfInterceptorFn 使用的正则 /^(?

为什么值得看

公告说明了正则与 WHATWG URL 解析差异导致 XSRF token 外泄的条件，并给出 20.3.34 与 21.0.3 的修复版本。