CVE-2026-13852: Falha de validação de entrada em WebAppInstalls no Google Chrome para Android

Visão geral

O registro descreve validação insuficiente de entrada não confiável em WebAppInstalls no Google Chrome para Android. Segundo a descrição, uma página HTML elaborada poderia permitir que um atacante local contornasse o controle de acesso discricionário. A fraqueza é classificada como CWE-20, Validação Inadequada de Entrada.

Impacto

A descrição indica que o controle de acesso discricionário pode ser contornado.
O vetor CVSS 3.1 indica alto impacto de integridade e de disponibilidade, sem impacto de confidencialidade. A pontuação 9.1 é atribuída pelo CNA e repetida pelo CISA-ADP.
Os dados SSVC do registro classificam o impacto técnico como total e a automatização como possível.
A descrição fala em atacante local, enquanto o vetor usa o vetor de ataque de rede (AV:N). O vetor exato deve ser tratado como não resolvido até que o fabricante esclareça.

Produtos e versões afetadas

Google Chrome para Android, em versões descritas como anteriores à 150.0.7871.47.
A faixa estruturada de versões afetadas é internamente inconsistente: uma entrada indica menor que 150.0.7871.47 e outra indica 150.0.7871.47 ou superior, mas também menor que 150.0.7871.47, o que forma uma faixa vazia. A descrição é tratada como a afirmação principal.
Não há campo de versão corrigida preenchido. O limite indicado na descrição sugere 150.0.7871.47 como primeira versão sem a falha, o que é uma inferência.

Status de exploração

O registro indica que a falha não consta no catálogo KEV. Nenhuma exploração confirmada no mundo real aparece nas fontes consultadas.
A exploração no SSVC está como nenhuma. O registro apresenta probabilidade EPSS de 0.0031 e percentil de 0.2213.

Correção e mitigação

Atualize o Google Chrome para Android para a versão 150.0.7871.47 ou superior, conforme as notas de lançamento do canal estável.
Confirme o status de atualização em dispositivos Android gerenciados e priorize os que são usados para atividades sensíveis.
Até a aplicação das atualizações, limite a navegação a sites confiáveis e restrinja a instalação de aplicativos web de origens não confiáveis, em nível geral.

Orientações de detecção

Faça o inventário das versões do Chrome em dispositivos Android e sinalize qualquer build anterior à 150.0.7871.47.
Use a telemetria de gestão de dispositivos móveis para identificar builds de navegador desatualizados.
Observe atividades incomuns de instalação de aplicativos web em nível geral. As fontes consultadas não publicam indicadores de comprometimento específicos.

Limitações das informações disponíveis

A entrada no rastreador de problemas do Chromium é restrita a usuários autorizados, por isso detalhes técnicos não estão disponíveis nas fontes consultadas.
O título estava nulo no registro. O título usado aqui foi derivado da descrição.
O vetor e a descrição divergem quanto ao vetor de ataque, a faixa de versões afetadas está vazia, não há campo de versão corrigida preenchido e a data do EPSS é posterior à data de publicação. Esses pontos devem ser verificados em fontes primárias, como o NVD.

Perguntas frequentes

O que a CVE-2026-13852 afeta?

Segundo a descrição do registro, ela afeta o Google Chrome para Android em versões anteriores à 150.0.7871.47, no componente WebAppInstalls.

Há exploração conhecida dessa vulnerabilidade?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada no mundo real aparece nas fontes consultadas. A exploração no SSVC está como nenhuma.

O que administradores devem fazer?

Atualizar o Chrome para Android para a versão 150.0.7871.47 ou superior, verificar o status de atualização nos dispositivos gerenciados e seguir as notas de lançamento do fabricante.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.