CVE-2026-85094

WysokieCVSS 8.8

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Aplikacja Canva na Androida przed wersją 2.376.0 nie ograniczała nagłówków zwracanych do zewnętrznego pochodzenia działającego w uprzywilejowanym WebView. Osoba atakująca kontrolująca WebView mogła uzyskać dostęp do sesji użytkownika.

Ocena ryzyka

Atakujący może przejąć sesję użytkownika, co może prowadzić do nieautoryzowanego dostępu do konta i danych użytkownika.

Rekomendacja

Zaktualizuj aplikację Canva do wersji 2.376.0 lub nowszej, która zawiera poprawkę.

Inne podatności w Canva Android App

CVE-2026-85085Krytyczne
Aplikacja Canva na Androida przed wersją 2.376.0 pozwalała na ładowanie zewnętrznego pochodzenia w uprzywilejowanym WebView. Podmiot zagrażający, który kontroluje stronę ładowaną przez użytkownika, może komunikować się z Canvą przy użyciu sesji użytkownika.

Oryginalny opis (angielski, źródło NVD)

The Canva Android App before 2.376.0 did not restrict the headers returned to an external origin running in a privileged WebView. A threat actor with control of the WebView could access a user’s session.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS