CVE-2026-101897 Denegación de servicio local en Angular DevTools por mensajes no verificados

Qué es CVE-2026-101897

Desde 1.20.0 hasta 1.21.1, el service worker en segundo plano de Angular DevTools acepta mensajes de runtime chrome.runtime.sendMessage de páginas web no confiables o content scripts de terceros sin verificar adecuadamente el origen del mensaje. Un remitente no confiable que obtenga un tabId aleatorio válido de la víctima puede indicar a la extensión que use chrome.debugger para adjuntarse a otra pestaña y activar breakpoints del Chrome DevTools Protocol, mostrando el banner de depuración, pausando la ejecución…

Productos y versiones afectadas

• angular

  • < 22.2.0-rc.0

• angular DevTools

  • >= 1.20.0, < 1.21.1

Qué hacer

1. Verificá si usás angular y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 5.1 MEDIA

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:N/SI:L/SA:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Pasiva

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Baja

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Alta

Abrir la calculadora completa →

Descripción original

Angular is a development platform for building mobile and desktop web applications using TypeScript/JavaScript and other languages. From 1.20.0 until 1.21.1, the Angular DevTools background service worker accepts chrome.runtime.sendMessage runtime messages from untrusted web pages or third-party content scripts without adequately verifying the message source. An untrusted sender that obtains a valid randomized victim tabId can direct the extension to use chrome.debugger to attach to another browser tab and trigger Chrome DevTools Protocol breakpoints. This can display the debugging banner, pause JavaScript execution, and prevent interaction with the target tab, but it does not provide remote code execution, privilege escalation, or cross-origin access to memory or credentials. This issue is fixed in version 1.21.1.

Referencias

• github.com/angular/angular/security/advisories/GHSA-r653-wxfp-pp9cX_REFSOURCE_CONFIRM
• github.com/angular/angular/pull/70623X_REFSOURCE_MISC
• github.com/angular/angular/commit/7c053599c79a6ddd785a9bae33ff9fc7b355ea0dX_REFSOURCE_MISC
• github.com/angular/angular/commit/cf492e8a372e2bbddb84987df12c33a52c23c72fX_REFSOURCE_MISC
• github.com/angular/angular/commit/e02c4d89bcf5da9af499e0dfbba8c29206976ab3X_REFSOURCE_MISC

Historial de la alerta

1. 14 OCT · 13:01VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.