关键漏洞信息 漏洞标题 Angular SSR: Global Platform Injector Race Condition Leads to Cross-Request Data Leakage 影响的包和版本 @angular/platform-server - 受影响版本: >=16.0.0-next.0, =20.0.0-next.0, =19.0.0-next.0, =21.0.0-next.0, =17.0.0-next.0, =19.0.0-next.0, =20.0.0-next.0, =21.0.0-next.0, =16.0.0-next.0, <=16.2.0 - 修复版本: None 漏洞严重性 CVSS v4 基本指标: 7.1/10 攻击向量: 网络 攻击复杂度: 低 用户交互: 需要 影响描述 Angular 使用一个全局变量来存储请求特定状态，当多个请求并发处理时，可能会导致数据泄露或覆盖。 解决方案 更新到修复版本。 对于使用 CommonEngine 的应用，确保在 CommonEngineOptions 中定义 context 参数。 工作区绕过 禁用 SSR。 移除自定义 bootstrap 函数中的异步行为。 移除应用代码中对 getPlatform() 的调用。 确保服务器构建定义了 ngJitMode 为 false。