på onsdagen Google släppte uppdateringar för att åtgärda fyra säkerhetsproblem i sin webbläsare Chrome, inklusive ett som de sa att det finns ett exploit i praktiken för.

Sårbarheten med hög allvarlighetsgrad, spårad som CVE-2025-4664 (CVSS-poäng: 4,3), har karakteriserats som ett fall av otillräcklig policytillämpning i en komponent som heter Loader.

“Otillräcklig policytillämpning i Loader i Google Chrome före 136.0.7103.113 tillät en fjärrangripare att läcka data från olika ursprung via en specialdesignad HTML-sida”, enligt en beskrivning av felet.

Werbung

Teknikjätten gav säkerhetsforskaren Vsevolod Kokorin (@slonser_) äran för att ha beskrivit bristen i X den 5 maj 2025, och tillade att de är medvetna om att “ett utnyttjande för CVE-2025-4664 existerar i det vilda”.

“Till skillnad från andra webbläsare löser Chrome länkrubriken på underresursförfrågningar”, sa Kokorin i en serie inlägg på X tidigare denna månad. “Problemet är att länkrubriken kan ange en referrer-policy. Vi kan ange unsafe-url och fånga de fullständiga frågeparametrarna.”

Forskaren tillade vidare att frågeparametrar kan innehålla känslig information som kan leda till fullständig kontoövertagande och att informationen om frågeparametrar kan stjälas via en bild från en tredjepartsresurs.

Det är inte klart om sårbarheten utnyttjades i ett skadligt sammanhang utanför denna proof-of-concept (PoC)-demonstration. CVE-2025-4664 är den andra sårbarheten efter CVE-2025-2783 som har hamnat under “aktivt utnyttjande” i fritt tillstånd.

För att skydda sig mot potentiella hot rekommenderas det att uppdatera sin Chrome-webbläsare till version 136.0.7103.113/.114 för Windows och Mac, och 136.0.7103.113 för Linux. Användare av andra Chromium-baserade webbläsare som Microsoft Edge, Brave, Opera och Vivaldi rekommenderas också att installera korrigeringarna när de blir tillgängliga.

Uppdatering #

Den amerikanska myndigheten Cybersecurity and Infrastructure Security Agency (CISA) lade på torsdagen till CVE-2025-4664 i sin katalog över kända utnyttjade sårbarheter ( KEV ), vilket kräver att federala myndigheter installerar korrigeringarna senast den 5 juni 2025