op woensdag Google heeft vrijgegeven updates om vier beveiligingsproblemen in de Chrome-browser op te lossen, waaronder één waarvoor volgens hen een exploit in de maak is.

De kwetsbaarheid met hoge ernst, gevolgd als CVE-2025-4664 (CVSS-score: 4,3) wordt gekarakteriseerd als een geval van onvoldoende handhaving van het beleid in een component met de naam Loader.

“Onvoldoende handhaving van het beleid in Loader i Google Chrome vóór 136.0.7103.113 maakte het mogelijk dat een externe aanvaller gegevens uit verschillende bronnen kon lekken via een speciaal vervaardigde HTML-pagina, aldus een beschrijving van de fout.

Advertentie

De techgigant gaf beveiligingsonderzoeker Vsevolod Kokorin (@slonser_) erkenning voor het beschrijven van de fout in X op 5 mei 2025. Ze voegden eraan toe dat ze weten dat er "een exploit voor CVE-2025-4664 in het wild bestaat".

“"In tegenstelling tot andere browsers verwerkt Chrome de linkheader bij subresource-aanvragen", zei Kokorin eerder deze maand in een reeks berichten op X. "Het probleem is dat de linkheader een referrerbeleid kan specificeren. We kunnen unsafe-url specificeren en de volledige queryparameters vastleggen."”

De onderzoeker voegde eraan toe dat queryparameters gevoelige informatie kunnen bevatten die kan leiden tot een volledige overname van een account en dat de informatie over queryparameters kunnen worden gestolen via een afbeelding van een externe bron.

Het is niet duidelijk of de kwetsbaarheid buiten deze proof-of-concept (PoC)-demonstratie in een kwaadaardige context is uitgebuit. CVE-2025-4664 is de tweede kwetsbaarheid na CVE-2025-2783 die onder “actieve exploitatie” in een vrije staat is gevallen.

Om u te beschermen tegen mogelijke bedreigingen, wordt aanbevolen uw Chrome-browser bij te werken naar versie 136.0.7103.113/.114 voor Windows en Mac, en 136.0.7103.113 voor Linux. Gebruikers van andere Chromium-gebaseerde browsers, zoals Microsoft Edge, Brave, Opera en Vivaldi, wordt ook aangeraden de patches te installeren zodra deze beschikbaar zijn.

Update #

Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) gelegd op donderdag naar CVE-2025-4664 in zijn catalogus van bekende geëxploiteerde kwetsbaarheden ( KEV ), die vereist dat federale agentschappen de oplossingen vóór 5 juni 2025 installeren