集聚安全不时东谈主员线路了Google Chrome浏览器中一个已被成就的安全疏忽细目，该疏忽可能允许膺惩者升迁权限并得回系统土产货文献的拜谒权限。
该疏忽被跟踪为CVE-2026-0628（CVSS评分：8.8），被刻画为WebView标签中的政策实践不及问题。Google已在2026年1月初发布的版块中成就了这一疏忽，Windows/Mac版块号为143.0.7499.192/.193，Linux版块号为143.0.7499.192。
阐述NIST国度疏忽数据库的刻画："Google Chrome 143.0.7499.192版块之前WebView标签中的政策实践不及，允许膺惩者通过劝服用户装配坏心推广圭臬，通过全心制作的Chrome推广向特权页面注入剧本或HTML代码。"
Palo Alto Networks Unit 42不时员Gal Weizman于2025年11月23日发现并叙述了该疏忽。他示意，这个问题可能允许具有基本权限的坏心推广圭臬松手Chrome中新的Gemini Live面板。该面板可通过点击浏览器窗口顶部的Gemini图标启动。Google在2025年9月将Gemini集成到Chrome中。
这种膺惩可能被膺惩者销耗来终了权限升级，使其简略在未经许可的情况下拜谒受害者的录像头和麦克风，对任何网站进行截屏，以及拜谒土产货文献。
这些发现凸显了一个新兴膺惩向量，行将东谈主工智能和智能体功能径直集成到网页浏览器中，以促进及时实质提要、翻译和自动任务实践，但这些功能也可能被销耗来实践特权操作。
{jz:field.toptypename/}问题的中枢在于需要授予这些智能体对浏览环境的特权拜谒权限来实践多形状操作，米兰体育这成为了一把双刃剑。当膺惩者在坏心网页中镶嵌荫藏教唆，并通过社会工程学或其他时间诓骗受害用户拜谒时，就会出现问题。
这种教唆可能指引AI助手实践蓝本会被浏览器拦阻的操作，导致数据清晰或代码实践。更厄运的是，网页可能主宰智能体将指示存储在内存中，使其在会话间抓续存在。
除了扩大的膺惩面除外，Unit 42示意，开云体育app在智能体浏览器中集成AI侧边面板还会带来经典的浏览器安全风险。
Weizman说："通过将这个新组件放手在浏览器的高特权险阻文中，开辟者可能不测中创造出新的逻辑劣势和终了毛病。这可能包括与跨站点剧本膺惩、权限升级和侧信谈膺惩干系的疏忽，这些疏忽不错被特权较低的网站或浏览器推广圭臬驾驭。"
天然浏览器推广圭臬基于界说的权限集出手，但得胜仗用CVE-2026-0628会碎裂浏览器安全模子，允许膺惩者通过浏览器面板在"gemini.google[.]com/app"上出手随便代码并得回敏锐数据拜谒权限。
Weizman补充谈："通过declarativeNetRequest API拜谒基本权限集的推广圭臬可能使膺惩者简略向新的Gemini面板注入JavaScript代码。当Gemini应用在这个新面板组件中加载时，Chrome为其提供了深广功能的拜谒权限。"
值得注方针是，declarativeNetRequest API允许推广圭臬防止和更始HTTPS集聚请乞降反馈的属性。告白防止推广圭臬使用它来拦阻在网页上加载告白的申请。
换句话说，膺惩者只需要诓骗毫无戒心的用户装配一个特制的推广圭臬，然后该推广圭臬就不错向Gemini侧边面板注入随便JavaScript代码，与文献系统交互、截屏、拜谒录像头、盛开麦克风——这些王人是AI助手实践任务所必需的功能。
Unit 42示意："加载Gemini应用的组件类型的各别是打算作为和安全劣势之间的界线。推广圭臬影响网站是预期的作为。但是，推广圭臬影响集成到浏览器中的组件则是严重的安全风险。"
Q&A
Q1：CVE-2026-0628疏忽会酿成什么危害？
A：该疏忽可能允许坏心推广圭臬松手Chrome的Gemini Live面板，终了权限升级。膺惩者不错在未经许可的情况下拜谒受害者的录像头和麦克风，对任何网站进行截屏，拜谒土产货文献，并向特权页面注入坏心剧本或HTML代码。
Q2：Google什么时刻成就了这个Chrome疏忽？
A：Google已在2026年1月初成就了CVE-2026-0628疏忽，Windows/Mac版块号为143.0.7499.192/.193，Linux版块号为143.0.7499.192。该疏忽率先由Palo Alto Networks Unit 42不时员于2025年11月23日发现并叙述。
Q3：为什么AI集成到浏览器会带来新的安全风险？
A：AI智能体需要特权拜谒权限来实践多形状操作，这成为双刃剑。膺惩者不错在坏心网页中镶嵌荫藏教唆，指引AI助手实践蓝本会被拦阻的操作，导致数据清晰或代码实践。AI侧边面板的集成还可能创造出跨站点剧本膺惩、权限升级等新的安全疏忽。
备案号: