Google heeft een kwetsbaarheid in Chrome verholpen waardoor aanvallers accounts van gebruikers kunnen kapen. Het techbedrijf waarschuwt dat een publieke exploit voor het probleem beschikbaar is. Het beveiligingslek wordt veroorzaakt door het onvoldoende handhaven van policies in het Loader-onderdeel van de browser. Via een speciaal geprepareerde website kan een aanvaller data stelen van andere websites die het slachtoffer in de browser geopend heeft.

"Het probleem is dat de Link-header een referrer-policy kan instellen. We kunnen een unsafe-url specificeren en de volledige query parameter opvangen", zegt beveiligingsonderzoeker Vsevolod Kokorin die het probleem op 5 mei via X bekendmaakte. "Query parameters kunnen gevoelige data bevatten, bijvoorbeeld in OAuth flows, dit kan tot het overnemen van een account leiden."

Google heeft de impact van het beveiligingslek (CVE-2025-4664) aangeduid als "high". Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder.

Het probleem is verholpen in Chrome 136.0.7103.113/.114 voor Windows en macOS. Voor de Linux-versie van Chrome is versie 136.0.7103.113 verschenen. Deze nieuwe versies worden de komende dagen/weken automatisch onder gebruikers uitgerold. Gebruikers die hier niet op willen wachten kunnen een handmatige update uitvoeren.