CVE-2026-85268：Firebase Auth 處理器因惡意 Bundle ID 發現跨站指令碼漏洞

CVE-2026-85268 - Cross-Site Scripting (XSS) in Firebase Auth Handler via Malicious Bundle ID

重點導讀

Google Cloud Identity Platform 與 Firebase Authentication 在 2026-08-14 前版本的 iOS SDK 中發現一個跨站指令碼漏洞，攻擊者可利用惡意 Bundle ID 執行任意 JavaScript。

推薦理由

此漏洞允許遠端執行惡意 JavaScript，需即時升級 iOS SDK 至 2026-08-14 版以防止跨站指令碼攻擊，並建議開發者檢查 bundle ID 驗證機制，以降低被利用風險。

正文 · 中文翻譯

在 Google Cloud Identity Platform 和 Firebase Authentication 於 2026-08-14 前的 iOS 版本中，auth/handler 存在跨站指令碼 (XSS) (CWE-79) 漏洞，允許未經身份驗證的遠端攻擊者利用惡意 iOS bundle ID 執行任意 JavaScript。

影響

受影響產品

以下產品受 CVE-2026-85268 漏洞影響。即使 cvefeed.io 知悉受影響產品的確切版本，該資訊亦未在下表中呈現。

尚未記錄受影響產品

Common Vulnerability Scoring System（CVSS）是一套標準化框架用於評估軟體與系統漏洞的嚴重程度。我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。

分數	版本	嚴重度	向量	可利用性分數	影響分數	來源
	CVSS 4.0	高				f45cbf4e-4146-4068-b7e1-655ffc2c548c

更新 iOS SDK 以修補跨站指令碼漏洞。

更新 iOS SDK 至 2026-08-14 或更高版本。
確保在 iOS 應用程式中正確驗證 bundle ID。

我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下列表為已在 GitHub 釋出的公開攻擊與概念驗證（按最近更新排序）。

由於潛在的效能問題，結果僅限於前 15 個倉庫。

以下列表為文章中提及 CVE-2026-85268 漏洞的新聞。

EPSS 是每日估計在未來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。