CVE-2023-4077
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
Niewystarczająca walidacja danych w rozszerzeniach Google Chrome przed wersją 115.0.5790.170 umożliwiła atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, wstrzyknięcie skryptów lub HTML na uprzywilejowanej stronie za pomocą spreparowanego rozszerzenia Chrome.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przejęcia kontroli nad uprzywilejowanymi stronami, co może prowadzić do kradzieży danych lub innego nieautoryzowanego dostępu.
Rekomendacja
Zaleca się aktualizację Google Chrome do wersji 115.0.5790.170 lub nowszej, aby zlikwidować tę podatność.
Inne podatności w Google Chrome Extensions
Zobacz wszystkie- CVE-2026-8587Wysokie
W Google Chrome na Mac przed wersją 148.0.7778.168 występuje podatność typu use after free w rozszerzeniach, która pozwala atakującemu na wykonanie dowolnego kodu poprzez złośliwe rozszerzenie, jeśli użytkownik je zainstaluje.
- CVE-2016-1648Wysokie
Podatność typu use-after-free w funkcji GetLoadTimes w implementacji rozszerzeń Google Chrome przed wersją 49.0.2623.108 może umożliwić zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego kodu JavaScript.
- CVE-2026-12467Wysokie
Wykorzystanie po zwolnieniu pamięci w rozszerzeniach Google Chrome przed wersją 149.0.7827.155 umożliwia zdalnemu atakującemu, który przejął proces renderowania, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.
- CVE-2026-12457Średnie
Nieodpowiednia implementacja w rozszerzeniach Google Chrome przed wersją 149.0.7827.155 umożliwiła zdalnemu atakującemu, który przejął proces renderowania, ominięcie izolacji witryn za pomocą spreparowanej strony HTML.
- CVE-2026-12456Średnie
Nieodpowiednia implementacja w rozszerzeniach Google Chrome przed wersją 149.0.7827.155 umożliwiła atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, obejście polityki samego pochodzenia za pomocą spreparowanego rozszerzenia Chrome.
- CVE-2026-12445Wysokie
W Google Chrome przed wersją 149.0.7827.155 wystąpiła podatność typu use after free w rozszerzeniach, która pozwalała atakującemu na wykorzystanie uszkodzenia sterty poprzez złośliwe rozszerzenie, jeśli użytkownik je zainstalował.
- CVE-2026-12017Niskie
Nieodpowiednia implementacja w rozszerzeniach Google Chrome przed wersją 149.0.7827.115 umożliwiała zdalnemu atakującemu, który przejął proces renderowania, obejście izolacji witryn za pomocą spreparowanej strony HTML.
- CVE-2023-4366Wysokie
Wykorzystanie po zwolnieniu pamięci w rozszerzeniach Google Chrome przed wersją 116.0.5845.96 pozwalało atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, na potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.
- CVE-2023-4078Wysokie
Nieodpowiednia implementacja w rozszerzeniach Google Chrome przed wersją 115.0.5790.170 umożliwiła atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, wstrzykiwanie skryptów lub HTML na uprzywilejowanej stronie za pomocą spreparowanego rozszerzenia Chrome.
Oryginalny opis (angielski, źródło NVD)
Insufficient data validation in Extensions in Google Chrome prior to 115.0.5790.170 allowed an attacker who convinced a user to install a malicious extension to inject scripts or HTML into a privileged page via a crafted Chrome Extension. (Chromium security severity: Medium)