CVE-2026-90860· NVD / CVE Program· CNA Canva

The Canva Mobile App for HarmonyOS before v1.15.1 did not restrict the headers returned to an external origin running in a privileged WebVie

The Canva Mobile App for HarmonyOS before v1.15.1 did not restrict the headers returned to an external origin running in a privileged WebView. A threat actor with control of the WebView could access a user’s session.

ВысокаяCVSS 7.1 · v3.1—Эксплойта нет Есть исправление

Без аутентификации

EUVD-2026-83843

Опубликовано: 21 сент. 2026 г.
Обновлено: 21 сент. 2026 г.
EPSS: 0,3 % · 21-й процентиль
CWE: CWE-212

Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 28 / 40 · 7.1 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,3 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · Canva: 7,1; NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для сотен тысяч уязвимостей в базе; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Затронутые системы

—

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Canva). Не зависят от анализа CPE в NVD и обычно опережают его.

Canva Canva
- до 1.15.1затронута · semver

Тот же продукт

canva: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-85085The Canva Android App before 2.376.0 allowed an external origin to be loaded in a privileged WebView.
38Наблюдать
CVE-2026-85094The Canva Android App before 2.376.0 did not restrict the headers returned to an external origin running in a privileged WebView.
35Наблюдать
CVE-2026-92839Canva Desktop before v1.125.0 performed double decoding in the deeplink handler.
17Наблюдать
CVE-2025-12792The Mac App Store distribution of the Canva for Mac desktop app before 1.117.1 was built without Hardened Runtime.
12Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Canva Canva	1.15.1	Вендор (CNA)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Wing Cheng (Canva)нашёл
Tin Duong (Canva)нашёл

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-85094с разницей 17 дн.The Canva Android App before 2.376.0 did not restrict the headers returned to an external origin running in a privileged WebView.
35Наблюдать