@angular/build@21 depends on [email protected] which is vulnerable to multiple CVEs
Les mainteneurs répondent en général sous 1 jour
@florimond-collette y travaille déjà.
Depuis le 25/10/2026.
- #34521 par @florimond-collette — ouverte
Évaluation
- Difficulté
- 2/5
- Temps estimé
- 1-3 heures
- Accessibilité débutants
- 30/100
- Type d'issue
- Bug
- Clarté
- Clairement spécifiée
- Activité
- Active
- Stack technique
- node.js, typescript
- Domaine
- build-system
Piste de recherche
Two open pull requests (#34521, #34522) already target this bump, so the fix is effectively claimed. If picking it up anyway, look at the undici dependency of @angular/build in the package.json / lockfile for the v21 branch, bump it to v7.30.1, and verify with npm audit that the CVEs are resolved.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Command
other
Is this a regression?
- Yes, this behavior used to work in the previous version
The previous version in which this bug was not present was
No response
Description
@angular/build v21 depends on undici v7.29.1 which is vulnerable to CVE-2026-109924, CVE-2026-109841 and CVE-2026-109869. Fixed version is v7.30.1.
As far as I can tell, @angular/build v20 and v22 do not depend on undici at all and are therefore not affected.
Minimal Reproduction
- npm install @angular/build@21
- npm audit
Exception or Error
Your Environment
Angular CLI : 21.2.27
Angular : 21.2.25
Node.js : 24.22.1
Package Manager : npm 11.19.0
Operating System : linux x64
┌───────────────────────────┬───────────────────┬───────────────────┐
│ Package │ Installed Version │ Requested Version │
├───────────────────────────┼───────────────────┼───────────────────┤
│ @angular/build │ 21.2.27 │ ^21.2.27 │
│ @angular/cdk │ 21.2.14 │ ^21.2.14 │
│ @angular/cli │ 21.2.27 │ ^21.2.21 │
│ @angular/common │ 21.2.25 │ ^21.2.20 │
│ @angular/compiler │ 21.2.25 │ ^21.2.25 │
│ @angular/compiler-cli │ 21.2.25 │ ^21.2.25 │
│ @angular/core │ 21.2.25 │ ^21.2.25 │
│ @angular/elements │ 21.2.25 │ ^21.2.20 │
│ @angular/forms │ 21.2.25 │ ^21.2.20 │
│ @angular/platform-browser │ 21.2.25 │ ^21.2.20 │
│ @angular/router │ 21.2.25 │ ^21.2.25 │
│ @angular/service-worker │ 21.2.25 │ ^21.2.20 │
│ ng-packagr │ 21.2.7 │ ^21.2 │
│ rxjs │ 7.8.2 │ ^7.8.2 │
│ typescript │ 5.9.3 │ ^5.9.3 || ^6 │
│ vitest │ 4.1.12 │ ^4.1.7 │
│ zone.js │ 0.16.3 │ ^0.15 || ^0.16 │
└───────────────────────────┴───────────────────┴───────────────────┘
Anything else relevant?
Since I open issues to update vulnerable dependencies fairly often now, I want to ask a few questions:
- What is the reason for pinning versions in package.json? In this case doing a ~7.29.1 would not help, I know, but in many other cases it would.
- Should there be some kind of security scanner, a scheduled GitHub action running
npm auditor something similar? This would probably detect vulnerable dependencies way faster than I do. - The time to fix those vulnerable dependencies measured from release of the fix for the dependency until release of @angular/xxx is sometimes very long (> 1 week), which in my opinion is too much nowadays. This is my general concern and the first two questions already try to find solutions to this. Any other ideas?
- Langage dominant
- TypeScript
- Étoiles
- 27k
- Forks
- 11.8k
- Merge moyen
- 1 j 1 h
- PR mergées (30 j)
- 223
Préparer son environnement
- Aucun Dockerfile ni fichier Docker Compose
- Propose un modèle de pull request
- Lire le guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Autres issues de angular/angular-cli
-
Can't use an array of hostnames in --allowedHosts cli parameter in @angular/build:dev-serverOuvertearea: @angular/build gemini-triaged
Difficulté 2/5 1-3 heures Accessibilité débutants 74/100
angular/angular-cli#33955 ·
Les mainteneurs répondent en général sous 1 jour
-
area: @angular/cli gemini-triaged
Difficulté 2/5 1-3 heures Accessibilité débutants 72/100
angular/angular-cli#33055 · 1 commentaire · 3 réactions ·
Les mainteneurs répondent en général sous 1 jour
-
area: @angular/build
Difficulté 3/5 1-2 jours Accessibilité débutants 55/100
angular/angular-cli#34524 · 2 réactions ·
Les mainteneurs répondent en général sous 1 jour
-
area: @angular/build
Difficulté 4/5 3-5 jours Accessibilité débutants 55/100
angular/angular-cli#34514 · 2 réactions ·
Les mainteneurs répondent en général sous 1 jour
-
ssr: string redirectTo drops trailing slash in query and fragmentPeut-être pris @alan-agius4 l’a pris il y a 2 jours. Ouvertearea: @angular/ssr
Difficulté 3/5 1-2 jours Accessibilité débutants 57/100
angular/angular-cli#34511 ·
Les mainteneurs répondent en général sous 1 jour
Toutes les issues de angular/angular-cli
Issues similaires
-
Difficulté 2/5 1-3 heures Accessibilité débutants 62/100
Merit-Systems/x402scan#1312 ·
-
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
Les mainteneurs répondent en général sous 1 jour
-
Native Web
Difficulté 1/5 Moins d'une heure Accessibilité débutants 80/100
digitalfabrik/integreat-app#4517 ·
Les mainteneurs répondent en général sous 2 jours
-
TLS guide repeats certs/ in the certificate directoryPeut-être pris @maheshrijal l’a pris aujourd’hui. Ouverte
Difficulté 1/5 Moins d'une heure Accessibilité débutants 92/100
prometheus/docs#3156 ·
Les mainteneurs répondent en général sous 2 jours
-
Difficulté 2/5 1-3 heures Accessibilité débutants 83/100
medusajs/dtc-starter#90 ·
Les mainteneurs répondent en général sous 1 jour