CVE-2026-34765

Electron JavaScript, HTML və CSS istifadə edərək çarpayazlı masaüstü tətbiqlər yazmaq üçün çərçivədir (framework). 39.8.5, 40.8.5, 41.1.0 və 42.0.0-alpha.5 versiyalarından əvvəl, render prosesi hədəf adı ilə window.open() funksiyasını çağırdıqda, Electron adlandırılmış pəncərənin axtarışını açan tərəfin brauzer kontekst qrupu ilə düzgün şəkildə məhdudlaşdırmırdı. Əgər hər iki render eyni hədəf adından istifadə edirsə, bir render digər əlaqəsiz render tərəfindən açılmış mövcud alt pəncərəyə yönləndirmə edə bilirdi. Əgər həmin mövcud alt pəncərə daha geniş webPreferences (setWindowOpenHandler-in overrideBrowserWindowOptions vasitəsilə) ilə yaradılıbsa, ikinci render tərəfindən yüklənən kontent həmin icazələri miras alır. Tətbiqlər yalnız fərqli etibar səviyyələrinə malik çoxlu sayda üst səviyyəli pəncərələr açdıqda və alt pəncərələrə imtiyazlı preload skripti kimi yüksəldilmiş webPreferences vermək üçün setWindowOpenHandler-dən istifadə etdikdə təsirlənir. Alt pəncərə imtiyazlarını yüksəltməyən və ya tək bir üst səviyyəli pəncərə istifadə edən tətbiqlər təsirlənmir. Təhlükəsizlik tövsiyələrinə zidd olaraq, alt pəncərələrə əlavə olaraq nodeIntegration: true və ya sandbox: false icazələri verən tətbiqlər ixtiyari kodun icrasına məruz qala bilər. Bu boşluq 39.8.5, 40.8.5, 41.1.0 və 42.0.0-alpha.5 versiyalarında aradan qaldırılıb.