CVE-2023-23623

Electron; JavaScript, HTML ve CSS kullanarak platformlar arası masaüstü uygulamaları yazmanıza olanak tanıyan bir framework'tür. Eval işlevini devre dışı bırakan, özellikle bir `script-src` direktifi belirleyen ve bu direktifte `unsafe-eval` sağlamayan bir Content-Security-Policy, sandbox özelliği devre dışı bırakılmış renderer'larda dikkate alınmamaktadır; örneğin `webPreferences` nesnesindeki `sandbox: false` ayarı. Bu durum, beklenmedik şekilde `eval()` ve `new Function` gibi yöntemlerin kullanılmasına izin vererek saldırı yüzeyinin genişlemesine neden olabilir. Bu sorun yalnızca Electron'un 22 ve 23 ana sürümlerini etkilemiş olup, bu sürüm hatlarının en güncel versiyonlarında düzeltilmiştir. Özellikle şu sürümler düzeltmeleri içermektedir: 22.0.1 ve 23.0.0-alpha.2 Tüm uygulamaların Electron'un en son kararlı sürümüne yükseltmesi önerilir. Yükseltme mümkün değilse, tüm renderer'larda `sandbox: true` etkinleştirilerek yükseltme yapmadan bu sorun giderilebilir.