Google Chrome: Ungenügende Eingabevalidierung in Passwort-Komponente
Zusammenfassung
Eine ungenügende Eingabevalidierung in der Passwort-Komponente von Google Chrome vor 156.0.8078.47 erlaubt einem entfernten Angreifer, möglicherweise Code ausserhalb der Browser-Sandbox auszuführen. Der Angreifer benötigt, dass das Opfer eine präparierte HTML-Seite besucht, eine Authentifizierung ist nicht nötig. Google stuft die Lücke als Medium ein, der NVD-CVSS-Wert liegt bei 9.6 (Critical); zum Zeitpunkt der Recherche war keine öffentliche Ausnutzung oder Proof of Concept bekannt.
Betroffen
- Google Chrome vor 156.0.8078.47 (gemäss CVE-Beschreibung)
- Linux und Android: Builds vor 156.0.8078.47
- Windows und macOS: Builds vor 156.0.8078.47 oder 156.0.8078.48 (Sekundärquellen)
- Chromium-basierte Browser können die Lücke übernehmen, bis sie den Chromium-Fix einspielen
Behoben in
- Chrome 156.0.8078.47 für Linux und Android (Android nicht bestätigt)
- Chrome 156.0.8078.47 oder 156.0.8078.48 für Windows und macOS (Sekundärquellen)
- Für andere Chromium-basierte Browser unbekannt in diesem Eintrag, ausser dass Microsoft Edge ab 156.0.4314.42 als behoben gemeldet wird
Umgehung
Kein Workaround dokumentiert. Chrome aktualisieren und den Browser anschliessend neu starten.
Ausnutzung
- Zum Zeitpunkt der Recherche keine bekannte Ausnutzung in freier Wildbahn
- Gemäss einem Drittanbieter-Tracker nicht im CISA KEV gelistet (nicht direkt geprüft)
- Kein öffentlicher Proof of Concept gefunden
- EPSS laut Vulners etwa 0.5 Prozent
Unsere Empfehlung
- Chrome auf allen Desktop-Systemen auf die fixe Version aktualisieren und den Browser neu starten
- Die installierte Version auf jedem Gerät prüfen, nicht nur, ob ein Update angeboten wurde
- Sicherstellen, dass auch im Unternehmen eingesetzte Chromium-basierte Browser aktualisiert werden
- Das Update als hohe Priorität behandeln, da für den Angriff nur ein Web-Besuch nötig ist und der Browser Zugangsdaten speichert
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Chrome Releases: Stable Channel Update for Desktop chromereleases.googleblog.com
- Chromium issue 563352925 issues.chromium.org
- Ubuntu security tracker CVE-2026-113235 ubuntu.com
- Vulners CVE record CVE-2026-113235 vulners.com
- TechGeeks security notice Chrome 156 stable www.techgeeks.org
- HKCERT security bulletin Microsoft Edge multiple vulnerabilities www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.