CVE-2026-70601 in Electron
الملخص
بحسب VulDB • 05/08/2026
إلكترون (Electron) هو إطار عمل لكتابة تطبيقات سطح المكتب متعددة المنصات باستخدام JavaScript وHTML وCSS. قبل الإصدارات 39.8.9، و40.9.2، و41.2.2، و42.0.0-beta.5، قد تكون التطبيقات التي تعرض دوالًا تُرجع قيم من نوع Promise إلى محتوى الويب عبر contextBridge عرضة لتجاوز عزل السياق (context isolation bypass). يمكن لمحتوى ويب غير موثوق الحصول على وصول إلى عالم التحميل المسبق المعزول (isolated preload world)، ومن خلاله الوصول إلى كل قدرات سكريبت التحميل المسبق. في حال وجود عناصر العرض (renderers) بدون جدار حماية sandbox، أو مع تفعيل nodeIntegration، قد يتصاعد هذا للوصول إلى Node.js. تتأثر التطبيقات إذا كانت تعرض دوالًا تُرجع قيم من نوع Promise عبر contextBridge، وهو النمط القياسي لتغليف استدعاءات ipcRenderer.invoke، في النوافذ التي تحمل محتوى غير موثوق. تم إصلاح هذه المشكلة في الإصدارات 39.8.9، و40.9.2، و41.2.2، و42.0.0-beta.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.