Google · Firebase Javascript Sdk · CVE-2024-11023
**Nome do software vulnerável e versões afetadas**
Versões do Firebase JavaScript SDK anteriores à 10.9.0
**Descrição**
O Firebase JavaScript SDK utiliza um cookie “FIREBASE DEFAULTS” para armazenar dados de configuração, incluindo um campo ‘ authTokenSyncURL’ usado para sincronização de sessão. Se esse campo do cookie for predefinido por um invasor por qualquer outro método, o invasor poderá manipular o “ authTokenSyncURL” para apontar para seu próprio servidor, permitindo-lhe capturar dados de sessão do usuário transmitidos pelo SDK.
**Recomendações**
Atualize o SDK JavaScript do Firebase para, no mínimo, a versão 10.9.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao campo “ authTokenSyncURL” para minimizar o risco de exploração.