CVE-2026-85268

WysokieCVSS 8.7

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.58%

Percentyl 48 - wyżej niż 48% wszystkich znanych CVE

Streszczenie

Podatność Cross-Site Scripting (XSS, CWE-79) w module auth/handler w Google Cloud Identity Platform i Firebase Authentication w wersjach przed 2026-08-14 na iOS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu JavaScript przy użyciu złośliwego identyfikatora bundle ID iOS.

Ocena ryzyka

Atakujący może wykonać złośliwy skrypt w kontekście aplikacji lub użytkownika, co może prowadzić do kradzieży danych sesji lub działań w imieniu ofiary.

Rekomendacja

Zaktualizuj Google Cloud Identity Platform i Firebase Authentication do wersji z 2026-08-14 lub nowszej oraz zweryfikuj konfigurację identyfikatorów bundle ID.

Inne podatności w Firebase Authentication

CVE-2026-76793Wysokie
Wtyczka Firebase Authentication dla WordPressa przed wersją 1.7.1 nie wymaga, aby adres e-mail w tokenie uwierzytelniającym był zweryfikowany przed dopasowaniem go do konta WordPress i wydaniem sesji, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administratorzy.

Oryginalny opis (angielski, źródło NVD)

A Cross-Site Scripting (XSS) (CWE-79) vulnerability in the auth/handler in Google Cloud Identity Platform and Firebase Authentication versions prior to 2026-08-14 on iOS allows an unauthenticated remote attacker to execute arbitrary JavaScript using a malicious iOS bundle ID.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS