安全研究员何塞·皮诺（Jose Pino）在基于Chromium 143.0.7483.0及以下版本的所有浏览器中发现了一个安全漏洞，受影响范围包括Chrome、Edge、Opera，以及Vivaldi、Arc、Brave等主流浏览器。鉴于Chrome及其衍生浏览器在全球桌面端和移动设备的主导地位，这意味着全球绝大多数个人电脑都面临该漏洞威胁。皮诺将这一漏洞命名为“Brash”。
该漏洞存在于谷歌（Google）Chromium项目的渲染引擎Blink中。据皮诺披露，该漏洞“通过利用特定DOM操作管理机制的架构缺陷，可在15至60秒内导致任何Chromium浏览器崩溃”。
攻击向量源于对document.title应用程序接口更新完全缺乏速率限制机制。这使得攻击者能够每秒注入数百万次DOM突变，在注入过程中会占满主线程资源，破坏事件循环并导致界面崩溃。其影响十分严重：不仅会消耗大量CPU资源，降低整体系统性能，还可能中止或拖慢同时运行的其他进程。由于该漏洞影响桌面端、安卓端及嵌入式环境中的Chromium浏览器，全球超过30亿网民将面临系统级拒绝服务攻击风险。
我们在Chrome浏览器中成功复现了该漏洞，确实导致浏览器冻结并停止响应。在测试环境中，只需简单关闭Chrome浏览器即可化解危机，操作系统未受损害。但在真实场景中，以此方式被冻结的浏览器可能导致整台计算机瘫痪。
用户可通过访问brash.run网站在任何Chromium内核浏览器中自行测试该漏洞。火狐（Firefox）与Safari浏览器不受影响，访问该网页时不会出现异常。
皮诺已在GitHub页面发布关于Brash漏洞的详细技术文档。谷歌目前尚未发布针对该漏洞的补丁，公司仍在对此事件展开调查。
