CVE-2026-106363
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w FullScreen w Google Chrome przed wersją 155.0.8059.39 umożliwił zdalnemu atakującemu, który skompromitował proces renderowania i wykorzystał socjotechnikę, obejście ograniczeń dostępu do systemu poprzez spreparowaną stronę HTML. (Poziom ważności Chromium: Średni)
Ocena ryzyka
Ryzyko obejścia ograniczeń systemowych może prowadzić do eskalacji uprawnień i naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację Google Chrome do wersji 155.0.8059.39 lub nowszej oraz wzmocnienie zabezpieczeń procesu renderowania.
Inne podatności w Google Chrome
Zobacz wszystkie- CVE-2026-110146Nieznane
Wyciek informacji w komponencie Passwords przeglądarki Google Chrome w wersjach przed 155.0.8059.79. Zdalny atakujący wykorzystujący inżynierię społeczną mógł uzyskać poufne informacje za pośrednictwem spreparowanej strony HTML. Waga wg Chromium: wysoka.
- CVE-2026-110145Nieznane
Podatność use-after-free w komponencie Passwords przeglądarki Google Chrome w wersjach przed 155.0.8059.79. Zdalny atakujący, który przejął proces renderujący, mógł wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML. Waga wg Chromium: wysoka.
- CVE-2026-102328Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102327Wysokie
Nieprawidłowa autoryzacja w WebView w Google Chrome na Androidzie przed wersją 154.0.8037.92 pozwoliła zdalnemu atakującemu, który skompromitował proces renderowania, na potencjalne wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Niska)
- CVE-2026-102326Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102325Średnie
Niezainicjalizowany zasób w Skia w Google Chrome przed wersją 154.0.8037.92 umożliwił zdalnemu atakującemu uzyskanie danych z innego pochodzenia (cross-origin) za pomocą spreparowanej strony HTML. (Dotkliwość wg Chromium: Wysoka)
- CVE-2026-102324Wysokie
Użycie po zwolnieniu (use after free) w PictureInPicture w Google Chrome przed wersją 154.0.8037.92 pozwoliło zdalnemu atakującemu, który skompromitował proces renderowania, na potencjalne wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102323Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102321Wysokie
Typ confusion w V8 w Google Chrome przed wersją 154.0.8037.92 pozwolił zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML. (Waga bezpieczeństwa Chromium: Wysoka)
- CVE-2026-102319Niskie
W Google Chrome przed wersją 154.0.8037.92 występuje niezainicjowany zasób w module GPU, który pozwala zdalnemu atakującemu, po przejęciu procesu renderowania, na odczyt pamięci poza piaskownicą za pomocą spreparowanej strony HTML. Waga bezpieczeństwa Chromium: wysoka.
Oryginalny opis (angielski, źródło NVD)
Missing authorization in FullScreen in Google Chrome prior to 155.0.8059.39 allowed a remote attacker who had compromised the renderer process and leveraged social engineering to bypass system access restrictions via a crafted HTML page. (Chromium security severity: Medium)
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS