CVE-2026-11048
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W Google Chrome przed wersją 149.0.7827.53 występuje nieodpowiednia implementacja w komponencie Extensions, która pozwala atakującemu, który przekona użytkownika do zainstalowania złośliwego rozszerzenia, na ominięcie polityki samego pochodzenia za pomocą spreparowanego rozszerzenia Chrome.
Ocena ryzyka
Zainstalowanie złośliwego rozszerzenia może pozwolić atakującemu na dostęp do danych z innych witryn i naruszenie izolacji przeglądarki.
Rekomendacja
Zaktualizuj Google Chrome do wersji 149.0.7827.53 lub nowszej i instaluj rozszerzenia tylko z zaufanych źródeł.
Inne podatności w Google Chrome
Zobacz wszystkie- CVE-2026-113338Wysokie
Podatność use-after-free w komponencie Turbolev przeglądarki Google Chrome przed wersją 156.0.8078.47. Zdalny atakujący może wykorzystać spreparowaną stronę HTML do wykonania dowolnego kodu w obrębie piaskownicy.
- CVE-2026-113271Wysokie
Podatność use-after-free w komponencie Accessibility przeglądarki Google Chrome w wersjach przed 156.0.8078.47. Zdalny atakujący może wykorzystać spreparowaną stronę HTML do wykonania dowolnego kodu w obrębie piaskownicy.
- CVE-2026-113045Nieznane
W Google Chrome na systemie Android przed wersją 156.0.8078.47 w komponencie Offline występuje odczyt poza granicami bufora. Zdalny atakujący może potencjalnie odczytać pamięć wewnątrz piaskownicy za pomocą spreparowanej strony HTML.
- CVE-2026-113043Wysokie
Podatność typu use after free w komponencie iOSWeb w Google Chrome na systemie iOS przed wersją 156.0.8078.47. Zdalny atakujący może wykonać dowolny kod w obrębie piaskownicy za pomocą spreparowanej strony HTML.
- CVE-2026-102328Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102327Wysokie
Nieprawidłowa autoryzacja w WebView w Google Chrome na Androidzie przed wersją 154.0.8037.92 pozwoliła zdalnemu atakującemu, który skompromitował proces renderowania, na potencjalne wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Niska)
- CVE-2026-102326Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102325Średnie
Niezainicjalizowany zasób w Skia w Google Chrome przed wersją 154.0.8037.92 umożliwił zdalnemu atakującemu uzyskanie danych z innego pochodzenia (cross-origin) za pomocą spreparowanej strony HTML. (Dotkliwość wg Chromium: Wysoka)
- CVE-2026-102324Wysokie
Użycie po zwolnieniu (use after free) w PictureInPicture w Google Chrome przed wersją 154.0.8037.92 pozwoliło zdalnemu atakującemu, który skompromitował proces renderowania, na potencjalne wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102323Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
Oryginalny opis (angielski, źródło NVD)
Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker who convinced a user to install a malicious extension to bypass same origin policy via a crafted Chrome Extension. (Chromium security severity: Medium)
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS