CVE-2026-13797: Falha de validação de entrada no Chromecast do Google Chrome permite possível fuga de sandbox
A CVE-2026-13797 é uma falha de validação inadequada de entrada (CWE-20) no componente Chromecast do Google Chrome em versões anteriores à 150.0.7871.47. Um atacante remoto que já tenha comprometido o processo de renderização poderia, potencialmente, escapar do sandbox por meio de uma página HTML especialmente elaborada. O CNA atribui pontuação CVSS 3.1 de 9.6 (Crítica), e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-13797 é um problema de validação insuficiente de entrada (CWE-20) no componente Chromecast do Google Chrome. Segundo o registro, um atacante remoto que já tivesse comprometido o processo de renderização poderia, potencialmente, escapar do sandbox usando uma página HTML especialmente elaborada. A gravidade de segurança do Chromium está classificada como Alta.
Impacto
O registro descreve uma possível fuga do sandbox. O CNA atribui pontuação base CVSS 3.1 de 9.6 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. O registro não descreve consequências além da fuga do sandbox.
Produtos e versões afetados
- Google Chrome em versões anteriores à 150.0.7871.47, conforme listado no registro.
- O registro não lista outros produtos ou plataformas.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada no mundo real nas fontes consultadas.
Correção e mitigação
- Atualize o Google Chrome para a versão 150.0.7871.47 ou superior, seguindo a atualização do canal estável divulgada pelo fornecedor.
- Verifique as versões instaladas em endpoints gerenciados, especialmente onde as atualizações do navegador são adiadas.
- Mantenha as atualizações automáticas do navegador habilitadas.
Orientação para detecção
- Faça o inventário das instalações do Chrome e compare as versões com o limite 150.0.7871.47.
- Trate falhas inesperadas do navegador ou encerramentos de processos de renderização como sinais gerais a investigar, pois não são específicos desta falha.
Limitações das informações disponíveis
O registro não possui título e não tem entradas na lista de correções. A entrada do rastreador de problemas está marcada como Permissions Required, o que pode restringir detalhes técnicos adicionais. O registro não contém detalhes técnicos de exploração, e a probabilidade EPSS é uma estimativa, não uma evidência de exploração.
Perguntas frequentes
A CVE-2026-13797 está sendo explorada no mundo real?
O registro não a inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Qual versão do Chrome corrige esta falha?
O registro indica como afetadas as versões anteriores à 150.0.7871.47, então essa versão e as posteriores ficam fora do intervalo informado. Confirme no comunicado do fornecedor antes da implantação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.