CVE-2026-7991
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W Google Chrome przed wersją 148.0.7778.96 wystąpiła podatność typu use after free w interfejsie użytkownika, która pozwalała zdalnemu atakującemu, który przejął proces renderowania, na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.
Ocena ryzyka
Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki, co stwarza ryzyko wycieku danych lub przejęcia kontroli nad systemem użytkownika.
Rekomendacja
Zaleca się aktualizację Google Chrome do wersji 148.0.7778.96 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Google Chrome
Zobacz wszystkie- CVE-2026-113338Wysokie
Podatność use-after-free w komponencie Turbolev przeglądarki Google Chrome przed wersją 156.0.8078.47. Zdalny atakujący może wykorzystać spreparowaną stronę HTML do wykonania dowolnego kodu w obrębie piaskownicy.
- CVE-2026-113271Wysokie
Podatność use-after-free w komponencie Accessibility przeglądarki Google Chrome w wersjach przed 156.0.8078.47. Zdalny atakujący może wykorzystać spreparowaną stronę HTML do wykonania dowolnego kodu w obrębie piaskownicy.
- CVE-2026-113045Nieznane
W Google Chrome na systemie Android przed wersją 156.0.8078.47 w komponencie Offline występuje odczyt poza granicami bufora. Zdalny atakujący może potencjalnie odczytać pamięć wewnątrz piaskownicy za pomocą spreparowanej strony HTML.
- CVE-2026-113043Wysokie
Podatność typu use after free w komponencie iOSWeb w Google Chrome na systemie iOS przed wersją 156.0.8078.47. Zdalny atakujący może wykonać dowolny kod w obrębie piaskownicy za pomocą spreparowanej strony HTML.
- CVE-2026-102328Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102327Wysokie
Nieprawidłowa autoryzacja w WebView w Google Chrome na Androidzie przed wersją 154.0.8037.92 pozwoliła zdalnemu atakującemu, który skompromitował proces renderowania, na potencjalne wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Niska)
- CVE-2026-102326Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102325Średnie
Niezainicjalizowany zasób w Skia w Google Chrome przed wersją 154.0.8037.92 umożliwił zdalnemu atakującemu uzyskanie danych z innego pochodzenia (cross-origin) za pomocą spreparowanej strony HTML. (Dotkliwość wg Chromium: Wysoka)
- CVE-2026-102324Wysokie
Użycie po zwolnieniu (use after free) w PictureInPicture w Google Chrome przed wersją 154.0.8037.92 pozwoliło zdalnemu atakującemu, który skompromitował proces renderowania, na potencjalne wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102323Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
Oryginalny opis (angielski, źródło NVD)
Use after free in UI in Google Chrome prior to 148.0.7778.96 allowed a remote attacker who had compromised the renderer process to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: Medium)
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS