グラフィックアプリ「Canva」Android版に深刻な脆弱性 - 最新版へ更新を

グラフィックサービスを展開するCanvaは、「Canva Androidアプリ」に関する2件の脆弱性について明らかにした。重要度が「クリティカル」とされる脆弱性も含まれる。

現地時間2026年9月4日にセキュリティアドバイザリを公開し、2件の脆弱性「CVE-2026-85085」「CVE-2026-85094」について明らかにしたもの。

「CVE-2026-85085」は、アプリ内において特別な権限のもと動作するブラウザコンポーネント「WebView」において、外部オリジンを読み込むことに起因。ユーザーが読み込むページを攻撃者が制御できる場合、ユーザーのセッションを利用してCanvaとの通信が可能になるという。

一方「CVE-2026-85094」も同じく「WebView」で動作する外部オリジンの処理に起因。「WebView」内で動作する外部オリジンへ返されるヘッダが適切に制限されておらず、攻撃者がユーザーセッションにアクセスできるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2026-85085」が「9.6」、「CVE-2026-85094」は「8.8」。重要度をそれぞれ「クリティカル（Critical）」「高（High）」としている。

両脆弱性は8月5日にバグバウンティプログラムを通じて報告された。「同2.376.0」より前のAndroid版アプリが影響を受けるとしており、同社は現地時間9月3日に修正版を公開。最新版へ更新するよう呼びかけている。

（Security NEXT - 2026/09/08 ）ツイート