CVE-2026-118337 (CVSS 9.3): Невідповідний контроль доступу у Forms у Google Chrome до версії 156.0.8078.73 дозволив віддаленому зловмиснику обійти політику веб-походження

OffSeq Threat Radar повідомляє, що вразливість була опублікована 27 жовтня 2026 року[1]. Він також повідомляє, що Chrome, орган нумерації CVE, оцінив її як "Висока"[1] і що патч "Доступний – виправлено у версії 156.0.8078.73"[1]. За станом на 27 жовтня OffSeq повідомив, що вразливість "ще не оцінена NVD,"[1] а Strix повідомив "аналіз NVD очікується."[3] VulDB надає їй свою власну базову оцінку 6.3[4].Згідно з VulDB, "експлуатація виявляється простою. Атака може бути запущена віддалено. Жодна форма автентифікації не потрібна для експлуатації. Успішна експлуатація вимагає взаємодії користувача-жертви."[4]Розширений аналіз VulDB стверджує, що проблема "ймовірно знаходиться у способі, яким Chrome обробляє введення користувача та надсилає форми через різні домени або походження."[5]OffSeq повідомляє, що вразливість "не в CISA KEV і жодне джерело не повідомляє про експлуатацію."[1] VulDB також стверджує "що експлуатація недоступна."[4]Трекер безпеки Ubuntu містить список вразливості та посилання на оновлення стабільного каналу Google Chrome Releases[6]. Strix ідентифікує CVE-2026-118337 як одну з кількох виправок Chrome 156, серед яких вразливості use-after-free у ImageCapture та Animation[3].OffSeq радить користувачам "оновити Google Chrome до версії 156.0.8078.73."[1]