CVE-2026-102304 Google Chrome Passwords 释放后使用漏洞
影响攻击者可通过恶意网页在沙箱外执行任意代码
AI 研判
Google Chrome 的 Passwords 组件存在释放后使用（Use-After-Free）漏洞，影响 154.0.8037.92 之前的版本。远程攻击者可通过精心构造的 HTML 页面触发该漏洞，进而实现沙箱外任意代码执行。Chromium 官方将该漏洞安全等级评定为 High，NVD 给出 CVSS 9.6 的严重评分。
影响范围
Google Chrome
漏洞详情
该漏洞属于释放后使用（Use-After-Free）类型，成因是 Passwords 组件在释放内存后仍继续引用该内存，导致悬垂指针被利用。攻击者通过构造恶意 HTML 页面诱导用户访问，触发内存破坏并劫持程序执行流。由于漏洞可突破浏览器沙箱限制，攻击者能够在沙箱外执行任意代码。
利用条件与风险
利用前提是用户使用受影响版本的 Chrome 访问攻击者控制的恶意网页，无需额外权限或交互即可触发。鉴于该漏洞可导致沙箱逃逸和远程代码执行，实战风险极高，属于严重级别。
修复建议
建议尽快将 Google Chrome 升级至 154.0.8037.92 或更高版本。在升级前，可临时避免访问不可信网页，并保持浏览器自动更新开启；暂无其他公开的临时缓解措施。
原始情报
Use after free in Passwords in Google Chrome prior to 154.0.8037.92 allowed a remote attacker to execute arbitrary code outside the sandbox via a crafted HTML page. (Chromium security severity: High)