Firebase Authentication 認證處理頁 XSS：自託管輔助程式須重新同步

情報摘要

Google Cloud CNA 披露 CVE-2026-85268，涉及 iOS 情境下的 Firebase Authentication／Identity Platform 認證處理頁。惡意 bundle ID 可觸發跨網站指令碼；Google 表示已為所有用戶修補，但自託管認證輔助程式的開發者須同步最新副本。

CNA 描述未認證遠端攻擊者可藉惡意 iOS bundle ID，令 auth/handler 執行任意 JavaScript。

Firebase 於 2026 年 8 月 14 日的發行紀錄公布認證輔助程式修補；Google Cloud CNA 於 10 月 30 日公開 CVE 及技術細節。本報以較早的原始修補公告日期作公告日，並於 10 月 30 日刊登；兩者均不代表已知攻擊日期。

受影響產品

Google Cloud Identity Platform 及 Firebase Authentication；CNA 列為 iOS、2026-08-14 之前版本

適用讀者

使用 Firebase 登入重新導向流程，尤其自託管 auth helper 的開發及維運團隊

建議行動

依 Google CNA 的修補說明，一般使用者不需更新應用程式。若按 Firebase redirect best practices 的 Option 4 自託管認證輔助程式，應重新同步最新 helper code，並檢查登入重新導向流程。

風險評級依據

Google Cloud CNA 評為 CVSS 4.0 8.7 分（High），包含被動用戶互動 UI:P，不是完全無需用戶互動的攻擊。

解讀限制

修補狀態與操作建議依 Google 官方記錄；2026 年 10 月披露 CVE 不代表當月才完成修補。

未有足夠證據確認在野外利用、受害者或香港影響。

資料來源

• Google Cloud CNA：CVE-2026-85268 ↗來源刊登：2026-10-30
• Firebase Release Notes：Authentication helper fix ↗來源刊登：2026-08-14