Palo Alto Networks研究人员发现谷歌Chrome浏览器漏洞（CVE-2026-0628），恶意扩展程序可利用该漏洞控制Gemini Live AI助手，实施用户监控并窃取敏感文件。
报告指出："我们在Chrome新版Gemini功能实现中发现高危安全漏洞，...

HackerNews 编译，转载请注明出处： 一起大规模数据窃取活动曝光：287 款 Chrome 扩展程序秘密窃取全球约 3740 万用户的浏览历史。 代号 qcontinuum1 的研究人员发现，受影响用户约占全球 Chrome 用户总量的 1%，这是一起波及数百万网民的重大隐私泄露事件。...

HackerNews 编译，转载请注明出处： Chrome 稳定版通道已推送 144.0.7559.109 和 144.0.7559.110 版本，修复了 Background Fetch API 中存在的一项高危安全漏洞。 该更新将在未来数天至数周内向 Windows、Mac 和 Linux 系统逐步推送，用户务必尽快将浏览器更新至最新版本。...

网络安全研究人员发现，Chrome 网上应用店中存在两款新的恶意扩展程序，专门用于窃取用户与 OpenAI ChatGPT 及 DeepSeek 的聊天记录，并将浏览数据一并上传至攻击者控制的服务器。
这两款扩展程序的名称及其用户数量如下：

Chat GPT for Chrome with 鉴于 AI 工具中常见的 AI 输入与输出及元数据的性质，可能会无意中收集或处理某些敏感数据。然而，我们的处理目的并非为了识别您的身份。尽管我们无法保证所有个人数据都被移除，但我们会尽可能采取措施过滤或移除您输入至这些 AI 工具中的识别信息。...

网络安全研究人员发现一款恶意Chrome扩展程序，该程序伪装成合法以太坊钱包，实则具备窃取用户助记词的功能。 这款名为"Safery: Ethereum Wallet"的扩展由威胁攻击者描述为"具备灵活设置的以太坊加密货币安全管理钱包"，于2025年9月29日上传至Chrome应用商店，最近更新日期为11月12日。截至发稿前仍可下载。 Socket安全研究员基里尔·博伊琴科指出："该扩展虽被宣传为简易安全的以太坊钱包，实则包含通过Sui地址编码助记词的后门，并从攻击者控制的Sui钱包发起微交易实施窃取。"...

HackerNews 编译，转载请注明出处： 谷歌在周三发布了Chrome网络浏览器的安全更新，以解决四个漏洞，其中包括一个已被证实存在野外利用的漏洞。 这个零日漏洞是CVE-2025-10585，被描述为V8 JavaScript和WebAssembly引擎中的类型混淆问题。...

HackerNews 编译，转载请注明出处： 谷歌已发布安全更新，修复其Chrome浏览器中一个已被野外利用的零日漏洞（CVE-2025-6554，CVSS评分暂缺）。该漏洞被描述为V8 JavaScript与WebAssembly引擎中的类型混淆缺陷。 根据美国国家标准与技术研究院（NIST）国家漏洞数据库（NVD）的说明："Chrome 138.0.7204.96之前版本中，V8引擎的类型混淆漏洞允许远程攻击者通过特制HTML页面执行任意内存读写操作。"...

HackerNews 编译，转载请注明出处： 未知攻击者自2024年2月起在Chrome应用商店投放多款恶意扩展程序，这些程序表面提供生产力工具、VPN、加密服务等实用功能，实则暗藏数据窃取、远程代码执行等恶意模块。 网络安全公司DomainTools调查发现，攻击者搭建仿冒DeepSeek、Manus、DeBank等知名服务的钓鱼网站，诱导用户安装对应扩展。这些扩展通过manifest.json文件申请过度权限，可劫持浏览器会话、注入广告、执行远程服务器下发的任意代码，...

HackerNews 编译，转载请注明出处： 安全研究人员发现，数十款Chrome扩展程序（其中多款在Chrome应用商店获得推荐位，但存在搜索引擎未收录的隐藏版本）含有追踪用户的隐蔽功能。这些扩展程序累计安装量已达600万次。 Secure Annex机构研究员John Tuckner揭露了一个由58个扩展程序构成的网络。这些扩展程序均获取了过于宽泛的权限，并暗藏可能恶意操作的功能模块，包括访问Cookie和令牌、监控用户行为、执行远程代码及窃取其他敏感数据。...

HackerNews 编译，转载请注明出处： Mozilla已发布更新，修复了影响其Firefox浏览器的严重安全漏洞。就在几天前，谷歌修复了Chrome中的类似漏洞，该漏洞曾作为零日漏洞在实际攻击中被利用。 这一安全漏洞编号为CVE-2025-2857，被描述为由于错误的句柄管理导致的沙箱逃逸问题。...