CVE-2026-85085

KrytyczneCVSS 9.6

Opublikowano: 04/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Streszczenie

Aplikacja Canva na Androida przed wersją 2.376.0 pozwalała na ładowanie zewnętrznego pochodzenia w uprzywilejowanym WebView. Podmiot zagrażający, który kontroluje stronę ładowaną przez użytkownika, może komunikować się z Canvą przy użyciu sesji użytkownika.

Ocena ryzyka

Ryzyko kradzieży sesji użytkownika i nieautoryzowanego dostępu do konta Canva, co może prowadzić do naruszenia prywatności i integralności danych.

Rekomendacja

Zaleca się aktualizację aplikacji Canva na Androida do wersji 2.376.0 lub nowszej, aby uniemożliwić ładowanie zewnętrznych treści w uprzywilejowanym WebView.

Inne podatności w Canva Android App

CVE-2026-85094Wysokie
Aplikacja Canva na Androida przed wersją 2.376.0 nie ograniczała nagłówków zwracanych do zewnętrznego pochodzenia działającego w uprzywilejowanym WebView. Osoba atakująca kontrolująca WebView mogła uzyskać dostęp do sesji użytkownika.

Oryginalny opis (angielski, źródło NVD)

The Canva Android App before 2.376.0 allowed an external origin to be loaded in a privileged WebView. A threat actor who controls the page loaded by the user is able to communicate with Canva using the user’s session.