Podatności Google Chrome

2511 znanych podatności CVE w Google Chrome, przetłumaczonych i ocenionych.

CVE-2021-38000ŚrednieAktywnie exploitowane
Niewystarczająca walidacja niezaufanych danych wejściowych w Intents w Google Chrome na Androidzie przed wersją 95.0.4638.69 pozwalała zdalnemu atakującemu na dowolne przekierowanie przeglądarki do złośliwego adresu URL za pomocą spreparowanej strony HTML.
CVE-2021-37976ŚrednieAktywnie exploitowane
Nieodpowiednia implementacja w module Memory w Google Chrome przed wersją 94.0.4606.71 pozwalała zdalnemu atakującemu na uzyskanie potencjalnie wrażliwych informacji z pamięci procesu za pomocą spreparowanej strony HTML.
CVE-2021-37975WysokieAktywnie exploitowane
Podatność use-after-free w silniku V8 w Google Chrome przed wersją 94.0.4606.71. Zdalny atakujący mógł potencjalnie wykorzystać uszkodzenie sterty (heap corruption) poprzez specjalnie spreparowaną stronę HTML.
CVE-2021-37973KrytyczneAktywnie exploitowane
Podatność Use-after-free w komponencie Portals w przeglądarce Google Chrome przed wersją 94.0.4606.61. Zdalny atakujący, który skompromitował proces renderowania, mógł potencjalnie wykonać ucieczkę z piaskownicy za pomocą spreparowanej strony HTML.
CVE-2021-30633KrytyczneAktywnie exploitowane
Podatność Use-after-free w API Indexed DB w przeglądarce Google Chrome przed wersją 93.0.4577.82. Zdalny atakujący, który skompromitował proces renderowania, mógł potencjalnie wykonać ucieczkę z piaskownicy za pomocą spreparowanej strony HTML.
CVE-2021-30632WysokieAktywnie exploitowane
Podatność zapisu poza granicami bufora (out-of-bounds write) w silniku V8 w Google Chrome przed wersją 93.0.4577.82. Zdalny atakujący mógł potencjalnie wykorzystać uszkodzenie sterty poprzez specjalnie spreparowaną stronę HTML.
CVE-2021-30563WysokieAktywnie exploitowane
Podatność typu Type Confusion w silniku V8 w Google Chrome przed wersją 91.0.4472.164 pozwalała zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML.
CVE-2021-30554WysokieAktywnie exploitowane
Podatność typu use-after-free w komponencie WebGL przeglądarki Google Chrome w wersjach przed 91.0.4472.114. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie pamięci (heap corruption) poprzez specjalnie spreparowaną stronę HTML.
CVE-2021-30551WysokieAktywnie exploitowane
Podatność typu type confusion w silniku V8 przeglądarki Google Chrome w wersjach przed 91.0.4472.101. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie pamięci (heap corruption) poprzez specjalnie spreparowaną stronę HTML.
CVE-2021-30533ŚrednieAktywnie exploitowane
Niewystarczające egzekwowanie polityki w PopupBlocker w Google Chrome przed 91.0.4472.77 pozwala zdalnemu atakującemu obejść ograniczenia nawigacji poprzez spreparowany iframe.
CVE-2021-21224WysokieAktywnie exploitowane
Błąd typu (type confusion) w V8 w przeglądarce Google Chrome przed wersją 90.0.4430.85 umożliwiał zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.
CVE-2021-21220WysokieAktywnie exploitowane
Niewystarczająca walidacja niezaufanych danych wejściowych w V8 w przeglądarce Google Chrome przed wersją 89.0.4389.128 umożliwiała zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty (heap corruption) za pomocą spreparowanej strony HTML.
CVE-2021-21206WysokieAktywnie exploitowane
Użycie po zwolnieniu (use-after-free) w Blink w przeglądarce Google Chrome przed wersją 89.0.4389.128 umożliwiało zdalnemu atakującemu potencjalne wykorzystanie uszkodzenia sterty (heap corruption) za pomocą spreparowanej strony HTML.
CVE-2021-21193WysokieAktywnie exploitowane
W przeglądarce Google Chrome przed wersją 89.0.4389.90 występuje podatność use-after-free w silniku Blink. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie sterty poprzez specjalnie spreparowaną stronę HTML.
CVE-2021-21166WysokieAktywnie exploitowane
W przeglądarce Google Chrome przed wersją 89.0.4389.72 występuje podatność typu data race w module audio. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie sterty poprzez specjalnie spreparowaną stronę HTML.
CVE-2021-21148WysokieAktywnie exploitowane
Google Chrome w wersjach przed 88.0.4324.150 zawiera podatność przepełnienia bufora na stercie w silniku V8. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie sterty poprzez specjalnie spreparowaną stronę HTML.
CVE-2020-6572WysokieAktywnie exploitowane
Google Chrome w wersjach przed 81.0.4044.92 zawiera podatność use-after-free w komponencie Media. Zdalny atakujący może wykonać dowolny kod poprzez specjalnie spreparowaną stronę HTML.
CVE-2020-16017KrytyczneAktywnie exploitowane
W Google Chrome przed wersją 86.0.4240.198 występuje luka use-after-free w mechanizmie izolacji witryn. Zdalny atakujący, który przejął proces renderujący, może potencjalnie uciec z piaskownicy za pomocą spreparowanej strony HTML.
CVE-2020-16013WysokieAktywnie exploitowane
Google Chrome w wersjach przed 86.0.4240.198 zawiera nieodpowiednią implementację w silniku V8. Zdalny atakujący może potencjalnie wykorzystać uszkodzenie sterty poprzez specjalnie spreparowaną stronę HTML.
CVE-2020-16010KrytyczneAktywnie exploitowane
Przepełnienie bufora sterty w interfejsie użytkownika przeglądarki Google Chrome na Androidzie w wersjach przed 86.0.4240.185. Zdalny atakujący, który przejął kontrolę nad procesem renderowania, mógł potencjalnie uciec z piaskownicy (sandbox escape) za pomocą spreparowanej strony HTML.
CVE-2020-16009WysokieAktywnie exploitowane
Nieodpowiednia implementacja w V8 w Google Chrome przed wersją 86.0.4240.183 pozwalała zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML.
CVE-2020-6418WysokieAktywnie exploitowane
Pomyłka typów w V8 w Google Chrome przed wersją 80.0.3987.122 pozwalała zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML.
CVE-2019-5825ŚrednieAktywnie exploitowane
Błąd zapisu poza granicami bufora w JavaScript w Google Chrome przed 73.0.3683.86 pozwalał zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML.
CVE-2019-13720WysokieAktywnie exploitowane
Luka use-after-free w WebAudio w Google Chrome przed wersją 78.0.3904.87 pozwala zdalnemu atakującemu na potencjalne wykorzystanie uszkodzenia sterty poprzez spreparowaną stronę HTML. Może to prowadzić do wykonania dowolnego kodu.
CVE-2019-5786ŚrednieAktywnie exploitowane
Problem z czasem życia obiektu w Blink w Google Chrome przed 72.0.3626.121 pozwalał zdalnemu atakującemu na potencjalny dostęp do pamięci poza granicami poprzez spreparowaną stronę HTML.
CVE-2016-5178Krytyczne
Wiele nieokreślonych podatności w Google Chrome przed wersją 53.0.2785.143 umożliwia zdalnym atakującym spowodowanie odmowy usługi lub potencjalnie inny wpływ poprzez nieznane wektory.
CVE-2013-6647Krytyczne
W Google Chrome występuje podatność typu use-after-free w funkcji AnimationController::endAnimationUpdate, co może prowadzić do nieautoryzowanego dostępu do pamięci.
CVE-2016-5146Krytyczne
Wielokrotne nieokreślone podatności w Google Chrome przed wersją 52.0.2743.116 mogą umożliwić atakującym spowodowanie odmowy usługi lub potencjalnie inne skutki poprzez nieznane wektory.
CVE-2016-1666Krytyczne
Wielokrotne nieokreślone podatności w Google Chrome przed wersją 50.0.2661.94 mogą umożliwić atakującym spowodowanie odmowy usługi lub potencjalnie inne skutki za pomocą nieznanych wektorów.
CVE-2016-1662Krytyczne
W Google Chrome przed wersją 50.0.2661.94 występuje luka w pliku gc_callback.cc, która nie zapobiega wykonaniu fallbacku po rozpoczęciu wywołania zwrotnego Garbage Collection. To umożliwia zdalnym atakującym spowodowanie odmowy usługi (use-after-free) lub potencjalnie inny nieokreślony wpływ.
CVE-2016-1659Krytyczne
Wielokrotne nieokreślone podatności w Google Chrome przed wersją 50.0.2661.75 mogą umożliwić atakującym spowodowanie odmowy usługi lub potencjalnie inne skutki za pomocą nieznanych wektorów.
CVE-2016-1642Krytyczne
Wielokrotne nieokreślone podatności w Google Chrome przed wersją 49.0.2623.75 mogą umożliwić atakującym spowodowanie odmowy usługi lub potencjalnie inny wpływ poprzez nieznane wektory.
CVE-2016-1636Krytyczne
Funkcja PendingScript::notifyFinished w Google Chrome przed wersją 49.0.2623.75 opiera się na informacjach z pamięci podręcznej dotyczących wystąpień kontroli integralności, co pozwala zdalnym atakującym na ominięcie mechanizmu ochrony Subresource Integrity (SRI) poprzez wywołanie dwóch załadunków tego samego zasobu.
CVE-2016-1635Krytyczne
W Google Chrome przed wersją 49.0.2623.75 występuje problem z obsługą cyklu życia obiektów oraz problemami z re-entrancy w funkcji OnDocumentElementCreated. To może prowadzić do awarii usługi (use-after-free) lub innych nieokreślonych skutków.
CVE-2016-1629Krytyczne
Google Chrome w wersjach przed 48.0.2564.116 umożliwia zdalnym atakującym obejście polityki tej samej lokalizacji Blink oraz mechanizmu ochrony piaskownicy za pomocą nieokreślonych wektorów.
CVE-2026-93387Średnie
Nieprawidłowa walidacja stanu w komponencie Skia w Google Chrome przed wersją 153.0.8010.52 pozwalała zdalnemu atakującemu uzyskać dane z innych źródeł (cross-origin) poprzez spreparowaną stronę HTML. Podatność została sklasyfikowana przez Chromium jako o wysokiej wadze.
CVE-2026-93386Średnie
Błędne odwzorowanie interfejsu użytkownika w komponencie WebAppInstalls w Google Chrome przed wersją 153.0.8010.52 pozwalało zdalnemu atakującemu wykorzystać inżynierię społeczną do podszywania się pod elementy UI poprzez spreparowaną stronę HTML. Podatność została sklasyfikowana przez Chromium jako o niskiej wadze.
CVE-2026-93385Średnie
Wyciek informacji w komponencie Paint w Google Chrome przed wersją 153.0.8010.52 pozwalał zdalnemu atakującemu uzyskać poufne informacje poprzez spreparowaną stronę HTML. Podatność została sklasyfikowana przez Chromium jako o średniej wadze.
CVE-2026-93384Niskie
Podatność typu server-side request forgery (SSRF) w komponencie Omnibox w Google Chrome na Androidzie przed wersją 153.0.8010.52 pozwalała zdalnemu atakującemu wykorzystać inżynierię społeczną do obejścia ograniczeń dostępu systemowego poprzez spreparowany ruch sieciowy. Podatność została sklasyfikowana przez Chromium jako o średniej wadze.
CVE-2026-93383Średnie
Wyciek informacji w komponencie Permissions w Google Chrome przed wersją 153.0.8010.52 pozwalał zdalnemu atakującemu wyciekać dane z innych źródeł (cross-origin) poprzez spreparowaną stronę HTML. Podatność została sklasyfikowana przez Chromium jako o średniej wadze.
CVE-2026-93382Wysokie
Podatność typu use after free w komponencie PDFium w Google Chrome przed wersją 153.0.8010.52 pozwalała zdalnemu atakującemu wykonać dowolny kod wewnątrz piaskownicy (sandbox) poprzez spreparowaną stronę HTML. Podatność została sklasyfikowana przez Chromium jako o wysokiej wadze.
CVE-2026-93381Wysokie
Przepełnienie bufora w komponencie PDFium w Google Chrome na Windows przed wersją 153.0.8010.52 pozwalało zdalnemu atakującemu wykorzystać inżynierię społeczną do potencjalnego wykonania dowolnego kodu wewnątrz piaskownicy (sandbox) poprzez spreparowany plik PDF. Podatność została sklasyfikowana przez Chromium jako o wysokiej wadze.
CVE-2026-93380Niskie
Warunek wyścigu (race condition) w komponencie FileSystem w Google Chrome przed wersją 153.0.8010.52 pozwalał zdalnemu atakującemu, który przejął proces renderowania i wykorzystał inżynierię społeczną, obejść ograniczenia dostępu systemowego poprzez spreparowaną stronę HTML. Podatność została sklasyfikowana przez Chromium jako o średniej wadze.
CVE-2026-93379Średnie
Nieprawidłowa autoryzacja w komponencie ORB w Google Chrome przed wersją 153.0.8010.52 pozwalała zdalnemu atakującemu obejść izolację witryn (site isolation) poprzez spreparowaną stronę HTML. Podatność została sklasyfikowana przez Chromium jako o wysokiej wadze.
CVE-2026-93378Niskie
Brak autoryzacji w komponencie Storage w Google Chrome przed wersją 153.0.8010.52 pozwalał zdalnemu atakującemu, który przejął proces renderowania, obejść izolację witryn (site isolation) poprzez spreparowany plik PDF. Podatność została sklasyfikowana przez Chromium jako o średniej wadze.
CVE-2026-93377Wysokie
Podatność typu confusion w silniku V8 w przeglądarce Google Chrome przed wersją 153.0.8010.52. Zdalny atakujący wykorzystujący socjotechnikę mógł wykonać dowolny kod w piaskownicy przez spreparowaną stronę HTML. (Waga: wysoka)
CVE-2026-93376Średnie
Podatność odczytu poza zakresem w komponencie DataTransfer w przeglądarce Google Chrome przed wersją 153.0.8010.52. Lokalny atakujący wykorzystujący socjotechnikę mógł odczytać pamięć poza piaskownicą za pomocą lokalnego programu. (Waga: średnia)
CVE-2026-93375Wysokie
Nieprawidłowe rozwiązywanie referencji w komponencie Tracing w przeglądarce Google Chrome na systemie Windows przed wersją 153.0.8010.52. Lokalny atakujący mógł potencjalnie wykonać dowolny kod poza piaskownicą za pomocą lokalnego programu. (Waga: wysoka)
CVE-2026-91748Wysokie
W Google Chrome na systemie Mac w wersji wcześniejszej niż 153.0.8010.47 występuje warunek wyścigu (race condition) w komponencie Extensions. Zdalny atakujący, który przejął kontrolę nad procesem renderowania i wykorzystał inżynierię społeczną, może potencjalnie wykonać dowolny kod poza piaskownicą poprzez interakcję z interfejsem użytkownika.
CVE-2026-91747Niskie
Podatność use-after-free w bibliotece Skia w Google Chrome przed wersją 153.0.8010.47. Zdalny atakujący, który przejął kontrolę nad procesem renderowania, mógł uzyskać dane z innych domen (cross-origin) za pomocą spreparowanej strony HTML.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS