CVE-2026-54673
Açıklama
electron-updater, Electron uygulamaları için otomatik güncellemelere olanak tanır. 9.7.0 sürümünden önce, HTTP yönlendirme işleyicisi (HttpExecutor.prepareRedirectUrlOptions), yalnızca anahtar dizesi küçük harflerle tam olarak "authorization" ile eşleşen kimlik bilgisi üst bilgisini kaldırıyordu ve bu durum kimlik bilgilerini açığa çıkarıyordu. Diğer kimlik bilgisi taşıyan üst bilgiler —özellikle PRIVATE-TOKEN (GitLab'ın kişisel erişim belirteci akışı tarafından kullanılır) ve karma büyük-küçük harfli Authorization (GitLab'ın Bearer/OAuth akışı tarafından kullanılır)— kaldırılmıyordu ve saldırgan tarafından kontrol edilen farklı kökenli bir yönlendirme hedefine iletilebiliyordu. Bu sorun 9.7.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- electron builder-util-runtime9.7.0 ya da sonraki bir sürüm
- electron electron-builder26.15.0 ya da sonraki bir sürüm
- builder-util-runtime9.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| electron builder-util-runtime | v < 9.7.0 | 9.7.0 |
| electron electron-builder | v < 26.15.0 | 26.15.0 |
| builder-util-runtimenpm | v < 9.7.0 | 9.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.