CVE-2026-86185

WysokieCVSS 8.0

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Bilibili Desktop do wersji 1.18.0 wyłącza weryfikację certyfikatów TLS w całym procesie i wykonuje niepodpisany zdalny JavaScript konfiguracyjny bez kontroli integralności. Atakujący znajdujący się w pozycji on-path w sieci może przechwycić pobieranie konfiguracji, wstrzyknąć dowolny JavaScript wykonywany w rendererze z dostępem do uprzywilejowanego mostu IPC oraz wykonać polecenia systemowe lub ukraść dane logowania.

Ocena ryzyka

Ryzyko obejmuje zdalne wykonanie kodu na komputerze ofiary i kradzież danych logowania, co może prowadzić do pełnej kompromitacji systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację Bilibili Desktop do wersji nowszej niż 1.18.0 oraz unikanie korzystania z aplikacji w niezaufanych sieciach.

Inne podatności w Bilibili Desktop

CVE-2026-75357Krytyczne
Problem w Bilibili Desktop v.1.17.9 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez komponenty bili-inject.js i bili-bridge.js.

Oryginalny opis (angielski, źródło NVD)

Bilibili Desktop through 1.18.0 disables TLS certificate verification process-wide and executes unsigned remote JavaScript configuration without integrity checks. An attacker in an on-path network position can intercept configuration fetches, inject arbitrary JavaScript executed in the renderer with access to the privileged IPC bridge, and execute system commands or steal login credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS