8.6
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се от съседна мрежа, без особени условия, без вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Bilibili Desktop through 1.18.0 disables TLS certificate verification process-wide and executes unsigned remote JavaScript configuration without integrity checks. An attacker in an on-path network position can intercept configuration fetches, inject arbitrary JavaScript executed in the renderer with access to the privileged IPC bridge, and execute system commands or steal login credentials.
Засегнати продукти
- Bilibili Bilibili Desktop: до 1.18.0
Вид слабост
История
- 5 септември 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-86185
- https://nvd.nist.gov/vuln/detail/CVE-2026-86185
- https://github.com/LeoWSY-hashblue/bilibili-desktop-tls-disabled-rce
- https://github.com/LeoWSY-hashblue/bilibili-desktop-tls-disabled-rce/blob/main/advisory.md
- https://app.bilibili.com/
- https://www.vulncheck.com/advisories/bilibili-desktop-through-1.18.0-remote-code-execution-via-tls-verification-bypass