CVE-2026-70601
Açıklama
Electron; JavaScript, HTML ve CSS kullanarak platformlar arası masaüstü uygulamaları yazmak için kullanılan bir çerçevedir. 39.8.9, 40.9.2, 41.2.2 ve 42.0.0-beta.5 sürümlerinden önce, contextBridge aracılığıyla web içeriğine Promise döndüren fonksiyonlar sunan uygulamalar, bir bağlam izolasyonu atlatma (context isolation bypass) zafiyetine sahip olabilir. Güvenilmeyen web içeriği, izole edilmiş ön yükleme dünyasına ve bunun aracılığıyla ön yükleme betiğinin sahip olduğu tüm yeteneklere erişim sağlayabilir. Sandbox bulunmayan veya nodeIntegration özelliğinin etkinleştirildiği oluşturucularda (renderers), bu durum Node.js erişimine kadar yükseltebilir. Uygulamalar, güvenilmeyen içerik yükleyen pencerelerde, ipcRenderer.invoke işlemini sarmalamak için standart desen olan contextBridge üzerinden Promise döndüren fonksiyonlar sunuyorlarsa etkilenirler. Bu sorun 39.8.9, 40.9.2, 41.2.2 ve 42.0.0-beta.5 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- electronjs electron39.8.9, 40.9.2, 41.2.2 ya da sonraki bir sürüm
- electron39.8.9, 40.9.2, 41.2.2, 42.0.0-beta.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| electronjs electron | v < 39.8.9, 40.0.0 ≤ v < 40.9.2, 41.0.0 ≤ v < 41.2.2, 42.0.0 | 39.8.9, 40.9.2, 41.2.2 |
| electronnpm | v < 39.8.9, 40.0.0-alpha.1 ≤ v < 40.9.2, 41.0.0-alpha.1 ≤ v < 41.2.2, 42.0.0-alpha.1 ≤ v < 42.0.0-beta.5 | 39.8.9, 40.9.2, 41.2.2, 42.0.0-beta.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.