CVE-2026-9967
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w komponencie GPU przeglądarki Google Chrome przed wersją 148.0.7778.216 umożliwia zdalnemu atakującemu wykonanie zapisu poza dozwolonym obszarem pamięci. Atak może zostać przeprowadzony za pomocą spreparowanej strony HTML, potencjalnie prowadząc do ucieczki z mechanizmu sandbox.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przejęcia kontroli nad procesem przeglądarki i ominięcia izolacji sandbox, co może umożliwić atakującemu wykonanie kodu w kontekście użytkownika i dostęp do wrażliwych danych.
Rekomendacja
Zaleca się natychmiastową aktualizację przeglądarki Google Chrome do wersji 148.0.7778.216 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w Google Chrome
Zobacz wszystkie- CVE-2026-106427Nieznane
W Google Chrome na iOS przed wersją 155.0.8059.39 występuje luka typu confused deputy w komponencie Mobile. Zdalny atakujący mógł obejść ograniczenia dostępu systemowego do uprzywilejowanej strony za pomocą spreparowanej strony HTML.
- CVE-2026-106426Wysokie
Wyścig w komponencie Fonts w Google Chrome przed wersją 155.0.8059.39 pozwalał zdalnemu atakującemu na potencjalne wykonanie dowolnego kodu poza sandboxem za pomocą spreparowanej strony HTML. (Ważność wg Chromium: Wysoka)
- CVE-2026-106425Nieznane
W Google Chrome przed wersją 155.0.8059.39 występuje brak autoryzacji w komponencie BrowserTag. Zdalny atakujący, który przejął proces renderera i wykorzystał inżynierię społeczną, mógł obejść izolację witryn za pomocą spreparowanej strony HTML.
- CVE-2026-106424Nieznane
W Google Chrome przed wersją 155.0.8059.39 występuje wyciek informacji w komponencie Audio. Zdalny atakujący, który przejął proces renderera, mógł odczytać pamięć poza piaskownicą za pomocą spreparowanego rozszerzenia Chrome.
- CVE-2026-106423Wysokie
Użycie po zwolnieniu w komponencie Media w Google Chrome przed wersją 155.0.8059.39 pozwalało zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz sandboxa za pomocą spreparowanej strony HTML. (Ważność wg Chromium: Wysoka)
- CVE-2026-106422Nieznane
W Google Chrome przed wersją 155.0.8059.39 występuje nieprawidłowa autoryzacja w API. Zdalny atakujący mógł obejść politykę pochodzenia witryny za pomocą spreparowanej strony HTML.
- CVE-2026-106421Wysokie
Użycie po zwolnieniu w komponencie PDF w Google Chrome przed wersją 155.0.8059.39 pozwalało zdalnemu atakującemu na wykonanie dowolnego kodu wewnątrz sandboxa za pomocą spreparowanej strony HTML. (Ważność wg Chromium: Wysoka)
- CVE-2026-106420Nieznane
W Google Chrome na Windows przed wersją 155.0.8059.39 występuje nieprawidłowe obliczenie w API. Zdalny atakujący wykorzystujący inżynierię społeczną mógł podszyć się pod elementy interfejsu użytkownika za pomocą spreparowanego rozszerzenia Chrome.
- CVE-2026-106418Nieznane
W Google Chrome przed wersją 155.0.8059.39 występuje brak autoryzacji w komponencie Network. Zdalny atakujący wykorzystujący inżynierię społeczną mógł obejść politykę pochodzenia witryny za pomocą spreparowanego ruchu sieciowego.
- CVE-2026-106416Nieznane
W Google Chrome przed wersją 155.0.8059.39 występuje wstrzyknięcie kodu w komponencie Extensions. Zdalny atakujący wykorzystujący inżynierię społeczną mógł podszyć się pod elementy interfejsu użytkownika za pomocą spreparowanego rozszerzenia Chrome.
Oryginalny opis (angielski, źródło NVD)
Out of bounds write in GPU in Google Chrome prior to 148.0.7778.216 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS