CVE-2026-9958
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W przeglądarce Google Chrome przed wersją 148.0.7778.216 wykryto podatność use-after-free w bibliotece PDFium. Zdalny atakujący może wykorzystać tę lukę do potencjalnego uszkodzenia sterty poprzez spreparowany plik PDF.
Ocena ryzyka
Organizacja narażona jest na ryzyko zdalnego wykonania kodu lub awarii przeglądarki po otwarciu złośliwego pliku PDF przez użytkownika. Może to prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Należy niezwłocznie zaktualizować przeglądarkę Google Chrome do wersji 148.0.7778.216 lub nowszej. Zaleca się również wdrożenie zasad blokowania nieznanych plików PDF.
Inne podatności w PDFium
Zobacz wszystkie- CVE-2026-6306Wysokie
Przepełnienie bufora na stercie w PDFium w Google Chrome przed wersją 147.0.7727.101 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanego pliku PDF.
- CVE-2026-6305Wysokie
Przepełnienie bufora w stercie w PDFium w Google Chrome przed wersją 147.0.7727.101 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanego pliku PDF.
- CVE-2016-5211Wysokie
W PDFium w Google Chrome przed wersją 55.0.2883.75 dla systemów Mac, Windows i Linux oraz przed wersją 55.0.2883.84 dla Androida występuje podatność typu use after free. Umożliwia to zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowany plik PDF.
- CVE-2016-5154Wysokie
Wielokrotne przepełnienia bufora w stercie w PDFium, używanym w Google Chrome przed wersją 53.0.2785.89 na Windows i OS X oraz przed wersją 53.0.2785.92 na Linux, umożliwiają zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu za pomocą spreparowanego obrazu JBig2.
- CVE-2016-5151Wysokie
PDFium w Google Chrome przed wersją 53.0.2785.89 na Windows i OS X oraz przed wersją 53.0.2785.92 na Linux niewłaściwie obsługuje timery, co pozwala zdalnym atakującym na spowodowanie odmowy usługi (use-after-free) lub potencjalnie innego nieokreślonego wpływu za pomocą spreparowanego dokumentu PDF.
- CVE-2016-1651Wysokie
W PDFium, używanym w Google Chrome przed wersją 50.0.2661.75, funkcje sycc420_to_rgb i sycc422_to_rgb nie są prawidłowo zaimplementowane, co umożliwia zdalnym atakującym uzyskanie wrażliwych informacji z pamięci procesu lub spowodowanie odmowy usługi (odczyt poza zakresem) poprzez spreparowane dane JPEG 2000 w dokumencie PDF.
- CVE-2016-1613Wysokie
Wielokrotne podatności typu use-after-free w implementacji formfiller w PDFium, używanym w Google Chrome przed wersją 48.0.2564.82, mogą pozwolić zdalnym atakującym na spowodowanie odmowy usługi lub potencjalnie innych nieokreślonych skutków poprzez spreparowany dokument PDF.
- CVE-2015-6775Wysokie
W PDFium, używanym w Google Chrome przed wersją 47.0.2526.73, w pliku fxjs_v8.cpp nie są wykorzystywane podpisy, co pozwala zdalnym atakującym na spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez wykorzystanie 'confuzji typów'.
- CVE-2015-1279Wysokie
Przepełnienie całkowite w funkcji CJBig2_Image::expand w PDFium, używanym w Google Chrome przed wersją 44.0.2403.89, może prowadzić do awarii usługi (przepełnienie bufora w stercie) lub innych nieokreślonych skutków w wyniku dużych wartości wysokości i kroku.
- CVE-2015-1259Wysokie
PDFium, używany w Google Chrome przed wersją 43.0.2357.65, nieprawidłowo inicjalizuje pamięć, co pozwala zdalnym atakującym na spowodowanie odmowy usługi lub potencjalnie innego nieokreślonego wpływu poprzez nieznane wektory.
Oryginalny opis (angielski, źródło NVD)
Use after free in PDFium in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: High)