关键信息 漏洞类型: XSS (Cross-Site Scripting) 漏洞描述: - Angular的模板编译器存在内部清理模式无法识别SVG 元素的 和 属性作为资源URL上下文的问题，导致可以执行任意JavaScript。 受影响的包: - - 受影响的版本: - 和 的多个版本（例如： , 等） 修复版本: - : 例如 , 等 - : 同上 严重性: - CVSS v4 基本度量：8.5/10 - 攻击向量：网络 - 用户交互：需要 CVE ID: CVE-2026-22610 影响: - 会话劫持：窃取会话cookie、本地存储数据或身份验证令牌 - 数据外泄：访问和传输应用内显示的敏感信息 - 未经授权的行为：以身份验证用户的身份执行状态更改操作 攻击前提条件: - 应用程序必须在模板中使用SVG 元素 - 属性必须使用属性或属性绑定 - 绑定的数据必须来自不可信源 修复措施: - 安装最新补丁版本 临时变通方案: - 避免动态绑定：不使用Angular模板绑定为SVG 元素 - 输入验证：动态值必须使用时，严格验证输入。 报告者与修复者: , , 等。