CVE-2026-22610CVE-2026-22610是Angular框架中的一个中危跨站脚本（XSS）漏洞，影响Angular Template Compiler组件。该漏洞存在于Angular的内部安全机制中，由于模板编译器未能正确识别SVG <script>元素的href和xlink:href属性为Resource URL上下文，导致攻击者可以通过精心构造的恶意SVG内容注入并执行任意JavaScript代码。Angular是一个广泛应用于Web和移动应用开发的TypeScript/JavaScript框架，被众多企业用于构建关键业务系统。此漏洞的CVSS评分为6.1，属于中等严重程度，需要用户交互才能触发。攻击复杂度低，无需认证即可发起攻击，但影响范围主要局限于机密性和完整性的低级别影响。该漏洞已被官方确认并发布安全补丁，建议受影响的用户尽快升级到修复版本以消除安全风险。
Angular Template Compiler在处理SVG内容时存在安全漏洞。漏洞的根本原因在于Angular的内部sanitization schema（安全清理机制）未能正确识别SVG <script>元素的href和xlink:href属性作为Resource URL上下文。在正常情况下，Angular会对用户输入进行安全清理，防止恶意代码执行。然而，由于SVG <script>元素的URL属性未被正确识别为Resource URL上下文，这些属性值不会被充分清理。攻击者可以利用这一缺陷，在href属性中注入javascript:伪协议或其他恶意协议，当用户浏览包含恶意SVG内容的页面时，浏览器会执行其中的JavaScript代码。攻击成功的前提是用户与包含恶意SVG内容的页面进行交互（如查看页面、点击元素等），这使得攻击具有一定的局限性。攻击者可以利用此漏洞窃取用户会话信息、劫持用户操作或进行钓鱼攻击。Angular官方通过更新sanitization schema来修复此问题，确保SVG <script>元素的URL属性在Resource URL上下文中被正确处理。