CVE-2026-12456
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Nieodpowiednia implementacja w rozszerzeniach Google Chrome przed wersją 149.0.7827.155 umożliwiła atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, obejście polityki samego pochodzenia za pomocą spreparowanego rozszerzenia Chrome.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przejęcia danych użytkownika lub wykonania nieautoryzowanych działań w kontekście zainstalowanego rozszerzenia, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Google Chrome do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością oraz przeprowadzenie audytu zainstalowanych rozszerzeń.
Inne podatności w Google Chrome Extensions
Zobacz wszystkie- CVE-2026-8587Wysokie
W Google Chrome na Mac przed wersją 148.0.7778.168 występuje podatność typu use after free w rozszerzeniach, która pozwala atakującemu na wykonanie dowolnego kodu poprzez złośliwe rozszerzenie, jeśli użytkownik je zainstaluje.
- CVE-2016-1648Wysokie
Podatność typu use-after-free w funkcji GetLoadTimes w implementacji rozszerzeń Google Chrome przed wersją 49.0.2623.108 może umożliwić zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie inny nieokreślony wpływ za pomocą spreparowanego kodu JavaScript.
- CVE-2026-12467Wysokie
Wykorzystanie po zwolnieniu pamięci w rozszerzeniach Google Chrome przed wersją 149.0.7827.155 umożliwia zdalnemu atakującemu, który przejął proces renderowania, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.
- CVE-2026-12457Średnie
Nieodpowiednia implementacja w rozszerzeniach Google Chrome przed wersją 149.0.7827.155 umożliwiła zdalnemu atakującemu, który przejął proces renderowania, ominięcie izolacji witryn za pomocą spreparowanej strony HTML.
- CVE-2026-12445Wysokie
W Google Chrome przed wersją 149.0.7827.155 wystąpiła podatność typu use after free w rozszerzeniach, która pozwalała atakującemu na wykorzystanie uszkodzenia sterty poprzez złośliwe rozszerzenie, jeśli użytkownik je zainstalował.
- CVE-2026-12017Niskie
Nieodpowiednia implementacja w rozszerzeniach Google Chrome przed wersją 149.0.7827.115 umożliwiała zdalnemu atakującemu, który przejął proces renderowania, obejście izolacji witryn za pomocą spreparowanej strony HTML.
- CVE-2023-4366Wysokie
Wykorzystanie po zwolnieniu pamięci w rozszerzeniach Google Chrome przed wersją 116.0.5845.96 pozwalało atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, na potencjalne wykorzystanie uszkodzenia sterty za pomocą spreparowanej strony HTML.
- CVE-2023-4078Wysokie
Nieodpowiednia implementacja w rozszerzeniach Google Chrome przed wersją 115.0.5790.170 umożliwiła atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, wstrzykiwanie skryptów lub HTML na uprzywilejowanej stronie za pomocą spreparowanego rozszerzenia Chrome.
- CVE-2023-4077Wysokie
Niewystarczająca walidacja danych w rozszerzeniach Google Chrome przed wersją 115.0.5790.170 umożliwiła atakującemu, który przekonał użytkownika do zainstalowania złośliwego rozszerzenia, wstrzyknięcie skryptów lub HTML na uprzywilejowanej stronie za pomocą spreparowanego rozszerzenia Chrome.
Oryginalny opis (angielski, źródło NVD)
Inappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.155 allowed an attacker who convinced a user to install a malicious extension to bypass same origin policy via a crafted Chrome Extension. (Chromium security severity: High)