CVSS: 4.3EPSS: 0%CPEs: 7EXPL: 0CVE-2009-1413
https://notcve.org/view.php?id=CVE-2009-1413
Google Chrome 1.0.x does not cancel timeouts upon a page transition, which makes it easier for attackers to conduct Universal XSS attacks by calling setTimeout to trigger future execution of JavaScript code, and then modifying document.location to arrange for JavaScript execution in the context of an arbitrary web site. NOTE: this can be leveraged for a remote attack by exploiting a chromehtml: argument-injection vulnerability. Google Crome 1.0.x no cancela los timeouts sobre una pagina de transición, lo que facilita a atacantes a la hora de llevar a cabo ataques XSS Universales llamando a la función setTimeout para desencadenar futuras ejecuciones de código JavaScript, y, a continuación modificar document.location para organizar la ejecución de JavaScript en el contexto de un sitio Web arbitrario. NOTA: esto puede ser aprovechado para un ataque a distancia mediante la explotación de un argumento de la vulnerabilidad de la inyección chromehtml. • http://chromium.googlecode.com/issues/attachment?aid=5579180911289877192&name=Google+Chrome+Advisory.doc http://code.google.com/p/chromium/issues/detail?id=9860 https://exchange.xforce.ibmcloud.com/vulnerabilities/50447 • CWE-264: Permissions, Privileges, and Access Controls •
CVSS: 4.3EPSS: 0%CPEs: 5EXPL: 0CVE-2009-1414
https://notcve.org/view.php?id=CVE-2009-1414
Google Chrome 2.0.x lets modifications to the global object persist across a page transition, which makes it easier for attackers to conduct Universal XSS attacks via unspecified vectors. Google Chrome 2.0.x permite que las modificaciones en el objeto global persistan a través de una página de transición, lo que facilita a los atacantes a la hora de llevar a cabo ataques XSS universales a través de vectores no especificados. • http://code.google.com/p/chromium/issues/detail?id=9860 https://exchange.xforce.ibmcloud.com/vulnerabilities/50446 • CWE-264: Permissions, Privileges, and Access Controls •
CVSS: 5.0EPSS: 0%CPEs: 12EXPL: 0CVE-2009-0411
https://notcve.org/view.php?id=CVE-2009-0411
Google Chrome before 1.0.154.46 does not properly restrict access from web pages to the (1) Set-Cookie and (2) Set-Cookie2 HTTP response headers, which allows remote attackers to obtain sensitive information from cookies via XMLHttpRequest calls and other web script. Google Chrome anterior a v1.0.154.46 no restringe adecuadamente el acceso de las páginas Web a las cabeceras de respuesta HTTP (1) Set-Cookie y (2) Set-Cookie2. Esto permite a atacantes remotos obtener información sensible de la cookies a través de llamadas XMLHttpRequest y otras secuencias de comandos web. • http://codereview.chromium.org/11264 http://codereview.chromium.org/18533 http://sites.google.com/a/chromium.org/dev/getting-involved/dev-channel/release-notes http://src.chromium.org/viewvc/chrome?view=rev&revision=8529 https://exchange.xforce.ibmcloud.com/vulnerabilities/48554 • CWE-264: Permissions, Privileges, and Access Controls •
CVSS: 5.0EPSS: 0%CPEs: 12EXPL: 0CVE-2009-0276
https://notcve.org/view.php?id=CVE-2009-0276
Cross-domain vulnerability in the V8 JavaScript engine in Google Chrome before 1.0.154.46 allows remote attackers to bypass the Same Origin Policy via a crafted script that accesses another frame and reads its full URL and possibly other sensitive information, or modifies the URL of this frame. Vulnerabilidad de dominio cruzado en la V8 del motor JavaScript en Google Chrome anterior a 1.0.154.46, permite a atacantes remotos evitar la Política del Mismo Origen (Same Origin Policy) a través de una secuencia de comandos que accede a otro marco (frame) y lee su URL completa y probablemente otra información sensible, o modifica la URL de ese marco (frame). • http://codereview.chromium.org/18531 http://googlechromereleases.blogspot.com/2009/01/stable-beta-update-yahoo-mail-and.html http://secunia.com/advisories/33754 http://sites.google.com/a/chromium.org/dev/getting-involved/dev-channel/release-notes http://src.chromium.org/viewvc/chrome?view=rev&revision=8524 •
CVSS: 4.3EPSS: 2%CPEs: 1EXPL: 1CVE-2009-0374 – Google Chrome 1.0.154.43 - Clickjacking
https://notcve.org/view.php?id=CVE-2009-0374
Google Chrome 1.0.154.43 allows remote attackers to trick a user into visiting an arbitrary URL via an onclick action that moves a crafted element to the current mouse position, related to a "Clickjacking" vulnerability. NOTE: a third party disputes the relevance of this issue, stating that "every sufficiently featured browser is and likely will remain susceptible to the behavior known as clickjacking," and adding that the exploit code "is not a valid demonstration of the issue. ** IMPUGNADA ** Google Chrome v1.0.154.43 permite a atacantes remotos engañar a un usuario para que visite una URL de su elección mediante una acción "onclick" que mueve un elemento modificado a la posición actual del ratón, relacionado con la vulnerabilidad "Clickjacking". NOTA: una tercera parte cuestiona la relevancia de este asunto, exponiendo que "cualquier navegador suficientemente expuesto es y probablemente continuará siendo susceptible del comportamiento conocido como clickjacking", y añade que el código que explota esta vulnerabilidad no es una demostración válida de la misma. • https://www.exploit-db.com/exploits/7903 http://www.secniche.org/gcr_clkj http://www.securityfocus.com/archive/1/500499/100/0/threaded http://www.securityfocus.com/archive/1/500533/100/0/threaded •