🟠 《高危安全漏洞：CVE-2026-17969》

CVSS 评分: 高危（8.8）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17969 是 Google Chrome 浏览器中的一个安全漏洞，属于 CWE-269（不恰当的权限管理） 分类。该漏洞存在于 Chrome 的密码管理（Passwords）功能中，具体表现为 不恰当的实现（Inappropriate implementation）。

攻击者可以通过构造一个恶意的 HTML 页面，诱使受害者访问该页面，从而在 Chrome 浏览器的沙箱（sandbox）内部执行任意代码。尽管该漏洞被 Chromium 安全团队评定为 低严重性（Low），但由于其允许在沙箱内执行代码，仍可能被用于绕过浏览器的安全隔离机制，进而配合其他漏洞实现更严重的攻击。

影响范围

  • 受影响软件：Google Chrome 浏览器
  • 受影响版本：早于 151.0.7922.72 的所有版本
  • 修复版本：Chrome 151.0.7922.72 及更高版本（于 2026 年 7 月发布）

风险分析

  • 攻击向量：远程攻击（AV:N），攻击者无需物理接触目标设备。
  • 攻击复杂度：低（AC:L），攻击者只需构造一个特制的 HTML 页面并诱导用户访问。
  • 所需权限：无需任何用户权限（PR:N）。
  • 用户交互：需要用户交互（UI:R），即用户必须点击或访问攻击者提供的恶意页面。
  • 影响范围：不改变（S:U），漏洞仅影响当前被攻击的浏览器进程，不波及其他系统组件。
  • 机密性影响：高（C:H），攻击者可能读取浏览器沙箱内的敏感数据，如密码、Cookie 等。
  • 完整性影响：高（I:H），攻击者可能修改沙箱内的数据或配置。
  • 可用性影响：高（A:H），攻击者可能导致浏览器崩溃或拒绝服务。

潜在攻击后果：

  1. 沙箱逃逸：虽然该漏洞仅在沙箱内执行代码，但结合其他沙箱逃逸漏洞，攻击者可能完全控制用户系统。
  2. 敏感信息窃取：攻击者可能窃取浏览器存储的密码、自动填充数据、浏览历史等。
  3. 恶意扩展安装：在沙箱内执行代码后，攻击者可能静默安装恶意扩展或修改浏览器设置。
  4. 中间人攻击：攻击者可能篡改网页内容或注入恶意脚本，进一步实施钓鱼或数据窃取。

建议：用户应立即更新 Google Chrome 至 151.0.7922.72 或更高版本，以修复此漏洞。同时，避免点击来源不明的链接或访问可疑网站。

🔍 技术细节

字段 值
CVE ID CVE-2026-17969
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE 分类 CWE-269
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 chrome-cve-admin@google.com

🔗 参考链接