CVE-2023-23623

Electron JavaScript, HTML və CSS istifadə edərək platformalararası masaüstü tətbiqləri yazmağa imkan verən freymvorkdur. eval-ı deaktiv edən, xüsusilə `script-src` direktivini təyin edən və həmin direktivdə `unsafe-eval` təqdim etməyən Content-Security-Policy, sandbox deaktiv edilmiş rendererlərdə, yəni `webPreferences` obyektində `sandbox: false` olduqda, riayət olunmur. Bu, `eval()` və `new Function` kimi metodların gözlənilmədən istifadəsinə imkan verir ki, bu da hücum səthinin genişlənməsinə səbəb ola bilər. Bu problem yalnız Electron-un 22 və 23 əsas versiyalarına təsir edib və həmin buraxılış xətlərinin ən son versiyalarında düzəldilib. Xüsusilə, bu versiyalar düzəlişləri ehtiva edir: 22.0.1 və 23.0.0-alpha.2. Bütün tətbiqlərə Electron-un ən son stabil versiyasına yüksəltməyi tövsiyə edirik. Yüksəltmə mümkün deyilsə, bu problem yüksəltmədən bütün rendererlərdə `sandbox: true` aktivləşdirməklə həll edilə bilər.