PT-2024-16712 · Google · Firebase Javascript Sdk

Camsjams

·

Publicado

2024-11-18

·

Atualizado

2025-07-23

·

CVE-2024-11023

CVSS v3.1

6.1

Média

VetorAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do Firebase JavaScript SDK anteriores à 10.9.0
Descrição
O Firebase JavaScript SDK utiliza um cookie “FIREBASE DEFAULTS” para armazenar dados de configuração, incluindo um campo ‘ authTokenSyncURL’ usado para sincronização de sessão. Se esse campo do cookie for predefinido por um invasor por qualquer outro método, o invasor poderá manipular o “ authTokenSyncURL” para apontar para seu próprio servidor, permitindo-lhe capturar dados de sessão do usuário transmitidos pelo SDK.
Recomendações
Atualize o SDK JavaScript do Firebase para, no mínimo, a versão 10.9.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao campo “ authTokenSyncURL” para minimizar o risco de exploração.

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-11023
GHSA-3WF4-68GX-MPH8

Produtos afetados

Firebase Javascript Sdk