CVE-2026-9903Google Chrome 148.0.7778.216之前的版本在站点隔离功能的实现中存在安全漏洞。由于对不受信任的输入验证不足，攻击者在已攻陷渲染器进程的前提下，可以通过诱导用户打开特制的MHTML页面来绕过站点隔离机制。此漏洞可能被利用来泄露敏感数据，存在中等安全风险。
该漏洞的核心在于Google Chrome的站点隔离机制未能正确验证MHTML（Multipurpose Internet Mail Extensions HTML）格式中的输入。站点隔离旨在将不同Web站点的渲染进程相互隔离，以防止恶意站点通过Spectre等漏洞读取其他站点的敏感数据。然而，在受影响版本中，如果攻击者已经获得了渲染器进程的控制权，他们可以利用精心构造的MHTML页面欺骗隔离策略。MHTML允许将网页资源打包成单个文件，利用这种格式，攻击者可以构造特殊的HTTP响应头或内容结构，使得浏览器错误地解析跨域内容，从而打破同源策略（SOP）的约束，实现数据窃取或进一步的攻击。