CVE-2026-43942
Açıklama
electerm; açık kaynaklı bir terminal/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftp istemcisidir. 3.8.15 ve önceki sürümlerde, src/app/lib/ipc-sync.js dosyasındaki getConstants() IPC işleyicisi tüm process.env nesnesini serileştirir ve renderer'a gönderir. Veriler window.pre.env olarak saklanır ve renderer içinde çalışan herhangi bir JavaScript tarafından (örneğin DevTools konsolu veya ele geçirilmiş bir webview bağlamı aracılığıyla) erişilebilir durumdadır. Renderer içerisinde herhangi bir JavaScript yürütmeyi başaran bir saldırgan, bu gizli bilgileri kolayca uzak bir sunucuya sızdırabilir; bu da bulut hesaplarının ele geçirilmesine, tedarik zinciri saldırılarına ve yanal harekete yol açabilir. Yayınlandığı sırada kamuya açık herhangi bir yama bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| electerm_project electerm | v ≤ 3.8.15 | — |
| electermnpm | v ≤ 3.8.15 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.