CVE-2026-118337 (CVSS 9.3): Неправильный контроль доступа в Forms в Google Chrome до версии 156.0.8078.73 позволил удаленному злоумышленнику обойти политику веб-источника

OffSeq Threat Radar сообщает, что уязвимость была опубликована 27 октября 2026 г.[1] Кроме того, Chrome, орган по присвоению номеров CVE, оценил её как "Высокую"[1] и сообщил, что исправление "Доступно – исправлено в версии 156.0.8078.73"[1] По состоянию на 27 октября OffSeq сообщил, что уязвимость была "еще не оценена NVD,"[1] а Strix сообщил "анализ NVD ожидает."[3] VulDB присвоил ей собственную базовую оценку 6.3[4]. По данным VulDB, "эксплуатация известна как простая. Атака может быть запущена удаленно. Для эксплуатации не требуется никакая форма аутентификации. Успешная эксплуатация требует взаимодействия пользователя – жертвы."[4]Расширенный анализ VulDB говорит, что проблема "вероятно содержится в том, как Chrome обрабатывает пользовательский ввод и отправляет формы по разным доменам или источникам."[5]OffSeq сообщает, что уязвимость "не включена в CISA KEV и эксплуатация не упоминается в источниках."[1] VulDB также говорит "эксплуатационный код недоступен."[4]Трекер безопасности Ubuntu указывает уязвимость и ссылается на обновление стабильного канала Google Chrome[6] Strix определяет CVE-2026-118337 как одно из нескольких исправлений Chrome 156, среди которых уязвимости use-after-free в ImageCapture и Animation[3]. OffSeq рекомендует пользователям "Обновить Google Chrome до версии 156.0.8078.73."[1]