CVE-2026-118337 (CVSS 9.3): Improper access control in Forms in Google Chrome prior to 156.0.8078.73 allowed a remote attacker to bypass web origin

OffSeq Threat Radar berichtet, dass die Sicherheitslücke am 27. Oktober 2026 veröffentlicht wurde[1]. Es wird auch berichtet, dass Chrome, die CVE-Nummervergabestelle, sie als "Hoch"[1] eingestuft hat und dass ein Patch "Verfügbar – behoben in 156.0.8078.73"[1] ist. Zum 27. Oktober teilte OffSeq mit, dass der Fehler "noch nicht von NVD bewertet wurde,"[1] und Strix sagte "NVD-Analyse steht aus."[3] VulDB vergibt ihr eigenes Basis-Score von 6,3[4].Nach Angaben von VulDB "ist die Ausnutzung bekanntermaßen einfach. Der Angriff kann aus der Ferne gestartet werden. Für die Ausnutzung ist keine Form der Authentifizierung erforderlich. Eine erfolgreiche Ausnutzung erfordert Benutzerinteraktion durch das Opfer."[4]Die erweiterte Analyse von VulDB besagt, dass das Problem "wahrscheinlich in der Art und Weise liegt, wie Chrome Benutzereingaben verarbeitet und Formulare über verschiedene Domains oder Origins hinweg übermittelt."[5]OffSeq berichtet, dass der Fehler "nicht in CISA KEV enthalten ist und keine Quelle eine Ausnutzung meldet."[1] VulDB besagt ebenfalls "dass ein Exploit nicht verfügbar ist."[4]Der Ubuntu-Sicherheitstracker listet die Sicherheitslücke auf und verlinkt zu Googles Chrome-Releases für den stabilen Channel[6]. Strix identifiziert CVE-2026-118337 als eine von mehreren Fehlerbehebungen in Chrome 156, darunter Use-After-Free-Fehler in ImageCapture und Animation[3].OffSeq empfiehlt Benutzern, "Google Chrome auf 156.0.8078.73 zu aktualisieren."[1]