CVE-2026-0907

UI spoofing w Google Chrome via błędny interfejs Split View

CVSS 9.8v3.1pub. 2026-01-20upd. 2026-01-29

Podatność w funkcji Split View przeglądarki Google Chrome umożliwia zdalnemu atakującemu przeprowadzenie ataku UI spoofing poprzez spreparowaną stronę HTML. Mimo przypisanej oceny CVSS 9.8 (CRITICAL), producent sklasyfikował podatność jako niską pod względem rzeczywistego zagrożenia bezpieczeństwa.

▸ Pokaż oryginał (EN)

Incorrect security UI in Split View in Google Chrome prior to 144.0.7559.59 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low)

🤖 Analiza AI

Jak działa

Błędna implementacja interfejsu bezpieczeństwa (Incorrect security UI) w komponencie Split View powoduje, że atakujący może wyświetlić użytkownikowi fałszywy interfejs przy użyciu odpowiednio spreparowanej strony HTML. Mechanizm ten jest zgodny z klasą CWE-451, oznaczającą wprowadzanie użytkownika w błąd co do wizualnej reprezentacji treści lub kontekstu bezpieczeństwa. Atak nie wymaga uwierzytelnienia, interakcja użytkownika ogranicza się jedynie do odwiedzenia spreparowanej strony.

Skutki

Atakujący może skutecznie podrobić elementy interfejsu użytkownika przeglądarki, co może prowadzić do wyłudzenia danych uwierzytelniających lub nakłonienia użytkownika do wykonania niepożądanych działań poprzez fałszywe wskazania wizualne.

Mitygacja

Należy zaktualizować Google Chrome do wersji 144.0.7559.59 lub nowszej. Aktualizacja dostępna jest za pośrednictwem wbudowanego mechanizmu aktualizacji przeglądarki lub na stronie producenta zgodnie z referencjami (chromereleases.googleblog.com).

Kogo dotyczy

Google Chrome w wersjach wcześniejszych niż 144.0.7559.59 na platformach Windows, Linux oraz macOS.

Uwagi

Istnieje wyraźna rozbieżność między oceną CVSS 9.8 (CRITICAL) a klasyfikacją producenta (Chromium security severity: Low). Administratorzy powinni kierować się oceną producenta przy priorytetyzacji wdrożenia patcha — rzeczywisty wpływ podatności jest ograniczony do UI spoofing bez możliwości bezpośredniego przejęcia systemu.