[email protected] which is vulnerable to CVE-2026-111767, CVE-2026-111768, CVE-2026-111769 and CVE-2026-111771

Ouverte

#34,455 ouverte le 20/10/2026 0 commentaires 0 réactions 0 personnes assignées Voir sur GitHub

Les mainteneurs répondent en général sous 1 jour

@florimond-collette y travaille déjà.

Depuis le 20/10/2026.

#34456 par @florimond-collette — ouverte

Évaluation

Difficulté: 2/5
Temps estimé: 1-3 heures
Accessibilité débutants: 35/100

Type d'issue: Bug
Clarté: Clairement spécifiée
Activité: À l'abandon
Stack technique: node.js, typescript
Domaine: devtools, security

Piste de recherche

The issue identifies the exact dependency and affected Angular CLI branches, and links an open pull request (#34456). Read the dependency declarations for the v20 and v21 branches and compare them with the fix described in #34263. Done means the dependency is updated to a patched version on both branches and the reported npm audit vulnerability no longer applies.

Rédigé par le modèle d'indexation à partir du texte de l'issue.

Description

area: @angular/cli

Command

other

Is this a regression?

Yes, this behavior used to work in the previous version

The previous version in which this bug was not present was

No response

Description

@modelcontextprotocol/sdk versions before 1.32.0 are affected by four advisories published on 2026-10-20, all patched in 1.32.0:

https://github.com/advisories/GHSA-22jm-h49p-29qw (CVE-2026-111767, CVSS 8.6): "MCP TypeScript SDK: Experimental tasks were not tied to the session that created them", affected >= 1.24.0, < 1.32.0
https://github.com/advisories/GHSA-46jr-4wx8-v453 (CVE-2026-111768, CVSS 7.5): "MCP TypeScript SDK: One HTTP request within the default size limit could exhaust server memory during validation", affected >= 1.3.0, < 1.32.0
https://github.com/advisories/GHSA-6prh-2h8m-c8cw (CVE-2026-111769, CVSS 6.5): "MCP TypeScript client SDK: HTTP client transports and OAuth requests followed cross-origin redirects and re-sent custom headers and request bodies", affected < 1.32.0
https://github.com/advisories/GHSA-rvq5-wwqv-78pq (CVE-2026-111771, CVSS 6.8): "MCP TypeScript SDK: Server bearer authentication accepted tokens issued for another service", affected >= 1.6.0, < 1.32.0

Both LTS branches pin a vulnerable version exactly (locked on, no update allowed):

v21 LTS: @angular/cli 21.2.26 through 21.2.27 (latest) depend on @modelcontextprotocol/[email protected] (earlier 21.2.x pinned 1.26.0 and 1.30.0, also affected)
v20 LTS: @angular/cli 20.3.39 through 20.3.40 (latest) depend on @modelcontextprotocol/[email protected] (earlier 20.3.x pinned 1.17.3, 1.24.0, 1.25.2, 1.26.0 and 1.30.0, also affected)

v22 (22.2.x) is not affected: it depends on @modelcontextprotocol/server instead, pinned to the patched 2.3.1 since 22.2.2 (22.2.0 and 22.2.1 pinned 2.0.0, updated in #34266).

The CLI only uses McpServer over stdio, so these do not look reachable through ng mcp, but the exact pin makes npm audit flag every install. npm's advisory feed only has GHSA-22jm-h49p-29qw and GHSA-6prh-2h8m-c8cw so far, so the audit output below lists those two.

The fix would be bumping @modelcontextprotocol/sdk to 1.32.1 (latest, same code as 1.32.0) on both branches, as was done for #34263 (#34264 / #34265).

Minimal Reproduction

npm install @angular/cli@21 (or @angular/cli@20)
npm audit

Exception or Error

# npm audit report

@modelcontextprotocol/sdk  <=1.31.0
Severity: high
MCP TypeScript SDK: Experimental tasks were not tied to the session that created them - https://github.com/advisories/GHSA-22jm-h49p-29qw
MCP TypeScript client SDK: HTTP client transports and OAuth requests followed cross-origin redirects and re-sent custom headers and request bodies - https://github.com/advisories/GHSA-6prh-2h8m-c8cw
fix available via `npm audit fix --force`
Will install @angular/[email protected], which is a breaking change
node_modules/@modelcontextprotocol/sdk
  @angular/cli  20.3.13 - 20.3.40 || 21.0.2 - 22.2.0-rc.0
  Depends on vulnerable versions of @modelcontextprotocol/sdk
  node_modules/@angular/cli

Your Environment

Angular CLI       : 21.2.27 / 20.3.40
Package Manager   : npm

Anything else relevant?

No response

Langage dominant: TypeScript
Étoiles: 27k
Forks: 11.8k
Merge moyen: 1 j 6 h
PR mergées (30 j): 216

Préparer son environnement

Aucun Dockerfile ni fichier Docker Compose
Propose un modèle de pull request
Lire le guide de contribution

Par où commencer

Lisez l'issue en entier, puis le guide de contribution du projet.
Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
Forkez le dépôt et travaillez sur une branche.
Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de angular/angular-cli

Can't use an array of hostnames in --allowedHosts cli parameter in @angular/build:dev-server
Ouverte
- Quelque chose ne va pas ?
area: @angular/build gemini-triaged

Difficulté 2/5 1-3 heures Accessibilité débutants 74/100

angular/angular-cli#33955 · Ouverte le 28/8/2026

Les mainteneurs répondent en général sous 1 jour
Allow tests to pass without any test files (e.g. via Vitest `passWithNoTests`)
Ouverte
- Quelque chose ne va pas ?
area: @angular/cli gemini-triaged

Difficulté 2/5 1-3 heures Accessibilité débutants 72/100

angular/angular-cli#33055 · 1 commentaire · 3 réactions · Ouverte le 26/4/2026

Les mainteneurs répondent en général sous 1 jour
@angular/build 22.2.x, 21.2.x and 20.3.x depend on [email protected] / [email protected] which are vulnerable to CVE-2026-112943
Peut-être pris @florimond-collette l’a pris aujourd’hui. Ouverte
- Quelque chose ne va pas ?
area: @angular/build

Difficulté 3/5 1-2 jours Accessibilité débutants 25/100

angular/angular-cli#34452 · Ouverte le 20/10/2026

Les mainteneurs répondent en général sous 1 jour
`ng generate app-shell` and `ng generate module --route` produce broken imports when a component `type` is configured
Peut-être pris @MeAkib l’a pris aujourd’hui. Ouverte
- Quelque chose ne va pas ?
area: @schematics/angular

Difficulté 3/5 1-2 jours Accessibilité débutants 35/100

angular/angular-cli#34449 · Ouverte le 20/10/2026

Les mainteneurs répondent en général sous 1 jour
`ng generate component/directive --module` declares a class that doesn't exist when `addTypeToClassName` is `false`
Peut-être pris @MeAkib l’a pris aujourd’hui. Ouverte
- Quelque chose ne va pas ?
area: @schematics/angular

Difficulté 3/5 1-2 jours Accessibilité débutants 25/100

angular/angular-cli#34447 · Ouverte le 20/10/2026

Les mainteneurs répondent en général sous 1 jour

Toutes les issues de angular/angular-cli

Issues similaires

[FE] Refactor: Consolidate the academic-year date helpers
Ouverte
- Quelque chose ne va pas ?
frontend

Difficulté 2/5 1-3 heures Accessibilité débutants 78/100

NIAEFEUP/tts#918 · Ouverte le 21/10/2026

Les mainteneurs répondent en général sous 1 jour
`startUnbundledServer` ignores `listen.port: 0` and falls back to port 3000
Ouverte
- Quelque chose ne va pas ?
Difficulté 1/5 Moins d'une heure Accessibilité débutants 86/100

nitrojs/nitro#4880 · Ouverte le 21/10/2026

Les mainteneurs répondent en général sous 1 jour
coreToAnthropic() collapses role:"system" into "user", causing HTTP 400 "tool_addition blocks can only be in system messages"
Ouverte
- Quelque chose ne va pas ?
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100

ranxianglei/billion-context#4172 · 1 commentaire · Ouverte le 21/10/2026

Les mainteneurs répondent en général sous 1 jour
[BUG] threat-composer-ai MCP server fails at import because strands-agents resolves to placeholder 0.0.1
Ouverte
- Quelque chose ne va pas ?
Difficulté 2/5 1-3 heures Accessibilité débutants 75/100

awslabs/threat-composer#362 · Ouverte le 21/10/2026

Les mainteneurs répondent en général sous 1 jour
[Integration Platform] Console links to wrong documentation URLs
Ouverte
- Quelque chose ne va pas ?
Area/Cloud Needs Triage Type/Bug

Difficulté 1/5 1-3 heures Accessibilité débutants 86/100

wso2/product-integrator#2847 · Ouverte le 21/10/2026

Les mainteneurs répondent en général sous 1 jour

Plus d'issues TypeScript

@angular/cli 21.2.x and 20.3.x depend on @modelcontextprotocol/[email protected] which is vulnerable to CVE-2026-111767, CVE-2026-111768, CVE-2026-111769 and CVE-2026-111771

Quelque chose ne va pas ?

Évaluation

Piste de recherche

Description

Command

Is this a regression?

The previous version in which this bug was not present was

Description

Minimal Reproduction

Exception or Error

Your Environment

Anything else relevant?

Préparer son environnement

Par où commencer

Autres issues de angular/angular-cli

Quelque chose ne va pas ?

Quelque chose ne va pas ?

Quelque chose ne va pas ?

Quelque chose ne va pas ?

Quelque chose ne va pas ?

Issues similaires

Quelque chose ne va pas ?

Quelque chose ne va pas ?

Quelque chose ne va pas ?

Quelque chose ne va pas ?

Quelque chose ne va pas ?

Recevez les nouvelles issues par e-mail