聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
该高危漏洞的编号是CVE-2025-4664，是位于组件Loader中的策略执行不充分问题。谷歌提到，“Google Chrome 136.0.7103.113之前版本中对Loader策略执行不充分，可导致远程攻击者通过构造的HTML页面泄露跨源数据。”
该漏洞由安全研究员 Vsevolod Kokorin 发现，谷歌提到“CVE-2025-4664的利用已在野出现”。Kokorin 在本月早些时候提到，“和其它浏览器不同，Chrome 在子资源请求上解析 Link 标头。问题在于该Link标头可设置 referrer-policy。我们可以指定unsafe-url并捕获完整的查询参数。”
Kokorin 还提到，这些查询参数包含敏感数据，可导致账号遭完全接管，而攻击者可通过来自第三方资源的一张图片盗取该查询参数信息。
目前尚不清楚CVE-2025-4664是否已遭恶意利用。该漏洞是继 CVE-2025-2783以来的第二个遭在野“活跃利用”的漏洞。
建议用户将 Chrome 浏览器更新至 136.0.7103.113/.114（Windows 和 Mac系统）以及 136.0.7103.113（LInux）版本。建议其它基于Chromium 浏览器如 Edge、Brave、Opera和 Vivaldi 的用户及时应用补丁。
原文始发于微信公众号（代码卫士）：Chrome修复已遭活跃利用的0day
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论