CVE-2018-1000025 in Firebase Admin SDK for PHP

Tóm tắt

Bởi VulDB • 29/06/2026

Jerome Gamez Firebase Admin SDK for PHP phiên bản từ 3.2.0 đến 3.8.0 chứa một lỗ hổng Kiểm soát Truy cập Sai (Incorrect Access Control) trong src/Firebase/Auth/IdTokenVerifier.php không xác minh chữ ký của token, điều này có thể dẫn đến việc giả mạo JWT với bất kỳ địa chỉ email và ID người dùng nào từ một token thực tế hoặc tạo ra hoàn toàn mới. Tấn công này dường như có thể khai thác được qua Kẻ tấn công sẽ chỉ cần biết địa chỉ email của nạn nhân trong hầu hết các trường hợp.. Lỗ hổng này đã được sửa chữa trong phiên bản 3.8.1.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Đặt trước: 29/01/2018
• Tiết lộ: 09/02/2018
• Kiểm duyệt: được chấp nhận
• mục: VDB-113071
• CPE: sẵn sàng
• CWE: CWE-284 (Đã xác nhận)
• CVSS: 8.1 (NVD)
• EPSS: 0.01310
• KEV: không
• Các hoạt động: rất thấp
• ngành: Pharma, Insurance, ...

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2018-1000025
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2018-1000025
• CVE Details: https://www.cvedetails.com/cve/CVE-2018-1000025/