CVE-2026-5895 CVSS 5.4 中危

CVE-2026-5895 Google Chrome iOS地址栏欺骗漏洞

披露日期: 2026-04-08

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-5895

漏洞类型

UI欺骗

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Google Chrome on iOS

漏洞概述

Google Chrome for iOS 在版本 147.0.7727.55 之前存在安全 UI 显示不当漏洞。由于 Omnibox（地址栏）对域名的处理存在缺陷，远程攻击者可利用精心构造的域名欺骗地址栏显示内容，从而掩盖真实网址，诱导用户进行交互，存在钓鱼攻击风险。

技术细节

该漏洞源于 Google Chrome iOS 版本中 Omnibox（地址栏）组件对特定域名格式的渲染逻辑缺陷。攻击者可以利用精心构造的恶意域名（例如利用特殊字符、IDN 同形异义字或特定编码），诱导 iOS 版 Chrome 浏览器在地址栏显示错误的域名信息。这种显示与实际加载内容的不一致，属于典型的 UI 欺骗攻击。由于该漏洞无需认证且通过网络传播，攻击者可将其嵌入钓鱼邮件或恶意网页中。一旦用户点击链接并访问，地址栏显示的可信 URL 会掩盖背后的恶意站点。虽然 CVSS 评分显示完整性影响为无，但视觉欺骗极易导致用户敏感信息泄露（机密性影响）或页面加载异常（可用性影响），严重破坏了浏览器的安全信任模型。

攻击链分析

STEP 1

1. 准备阶段

攻击者注册一个精心构造的域名，该域名在 Chrome iOS 的 Omnibox 中会被错误渲染或显示为其他看似合法的域名。

STEP 2

2. 传递阶段

攻击者通过电子邮件、短信或社交媒体向受害用户发送包含该恶意域名的链接。

STEP 3

3. 利用阶段

受害用户点击链接，iOS 版 Chrome 浏览器加载页面，但地址栏显示被欺骗的 URL，用户误以为访问的是合法网站。

STEP 4

4. 影响阶段

用户基于对地址栏的信任，在页面上输入敏感信息（如账号密码）或下载恶意文件，导致信息泄露。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC for CVE-2026-5895: Omnibox UI Spoofing -->
<!--
Description:
To exploit this vulnerability, an attacker registers a crafted domain name.
When a target user navigates to this domain using Google Chrome on iOS < 147.0.7727.55,
the Omnibox (address bar) displays a spoofed URL different from the actual origin.
-->
<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>Secure Login</title>
</head>
<body>
    <h3>Please Login</h3>
    <!-- Visual content mimicking a legitimate site -->
    <p>Enter your credentials to continue.</p>
    <form action="/submit" method="POST">
        <input type="text" placeholder="Username" /><br/><br/>
        <input type="password" placeholder="Password" /><br/><br/>
        <button type="submit">Sign In</button>
    </form>
</body>
</html>

影响范围

Google Chrome on iOS < 147.0.7727.55

防御指南

临时缓解措施

建议用户立即检查 Google Chrome 的更新，确保版本号不低于 147.0.7727.55。在未修复前，避免点击来源不明的链接，特别是在涉及敏感操作时，应手动输入网址或通过其他渠道验证网站的真实性。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表