微软身份验证器漏洞允许恶意安卓应用在无需任何权限的情况下窃取账户令牌 | CVE-2026-80097 | CVSS 8.6
微软已修补安卓版 Authenticator 中的高危漏洞 CVE-2026-80097，CVSS 评分 8.6，该漏洞可能让恶意应用窃取工作账户访问令牌。Enclave 研究人员发现，不受信任的应用可以假扮成 Teams 等可信微软应用，要求 Authenticator 为该身份发放授权令牌，漏洞根源是导出的安卓活动对代理组件认证不当。危险在于门槛极低：该请求不需要用户批准、不需要账户凭证、不需要安卓权限，只要恶意应用安装在装有 Authenticator 并登录了工作账户的设备上即可。
报道来源
- LinuxDo2026-10-27 01:21