Angular XSRF 令牌泄露：修复不完整

GitHub 安全公告库称，@angular/common 的 HttpClient 对 CVE-2025-66035 的修复并不完整：xsrfInterceptorFn 使用的正则表达式与浏览器 WHATWG URL 解析器之间存在差异，攻击者可利用这一差异，把 XSRF 令牌泄露到其控制的跨域域名。 触发该问题需要两个条件：受害者的 Angular 应用启用了 XSRF 防护（HttpClient 默认启用），并且攻击者能让应用向自己控制的 URL（如 /\attacker.example/api 或 //attacker.example/api）发送 POST、PUT、DELETE、PATCH 等会改变状态的请求。 按公告，20.3.x LTS 分支直到 20.3.34 才移除该正则表达式；21.0.3 及所有 22.x 版本的情况见公告原文。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。