CVE-2026-118337 (CVSS 9.3): Controle de acesso impróprio em Forms no Google Chrome anterior a 156.0.8078.73 permitia que um atacante remoto contornasse a origem da web

OffSeq Threat Radar informa que a vulnerabilidade foi publicada 27 de outubro de 2026[1]. Também informa que o Chrome, a autoridade de numeração de CVE, a classificou como "Alta"[1] e que um patch está "Disponível – corrigido em 156.0.8078.73"[1]. Em 27 de outubro, o OffSeq disse que a falha "ainda não foi pontuada pelo NVD,"[1] e o Strix disse "análise do NVD pendente."[3] VulDB lhe atribui sua própria pontuação base de 6.3[4].De acordo com o VulDB, "a exploração é conhecida por ser fácil. O ataque pode ser lançado remotamente. Nenhuma forma de autenticação é necessária para exploração. A exploração bem-sucedida requer interação do usuário pela vítima."[4]A análise estendida do VulDB diz que o problema "provavelmente reside em como o Chrome processa a entrada do usuário e envia formulários em diferentes domínios ou origens."[5]OffSeq informa que a falha "não está no CISA KEV e nenhuma fonte relata exploração."[1] VulDB também diz "um exploit não está disponível."[4]O rastreador de segurança do Ubuntu lista a vulnerabilidade e vincula a atualização do canal estável do Google Chrome Releases[6]. O Strix identifica o CVE-2026-118337 como um dos vários ajustes do Chrome 156, entre eles bugs use-after-free no ImageCapture e Animation[3].OffSeq aconselha os usuários a "Atualizar o Google Chrome para 156.0.8078.73."[1]