Electron bis 39.8.8/40.9.1/41.2.1/42.0.0-beta.4 contextBridge Remote Code Execution

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
6.0	$0-$5k	1.18

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in Electron bis 39.8.8/40.9.1/41.2.1/42.0.0-beta.4 ausgemacht. Dies betrifft einen unbekannten Teil der Komponente contextBridge. Durch Manipulieren mit unbekannten Daten kann eine Remote Code Execution-Schwachstelle ausgenutzt werden. Die Identifikation der Schwachstelle findet als CVE-2026-70601 statt. Der Angriff kann über das Netzwerk erfolgen. Es steht kein Exploit zur Verfügung.

Detailsinfo

In Electron bis 39.8.8/40.9.1/41.2.1/42.0.0-beta.4 wurde eine kritische Schwachstelle entdeckt. Das betrifft eine unbekannte Funktionalität der Komponente contextBridge. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine Remote Code Execution-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-653. Dies hat Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to 39.8.9, 40.9.2, 41.2.2, and 42.0.0-beta.5, apps that expose Promise-returning functions to web content via contextBridge may be vulnerable to a context isolation bypass. Untrusted web content could obtain access to the isolated preload world and, through it, every capability the preload script has. In renderers without a sandbox, or with nodeIntegration enabled, this may escalate to Node.js access. Apps are affected if they expose Promise-returning functions via contextBridge, the standard pattern for wrapping ipcRenderer.invoke, in windows that load untrusted content. This issue is fixed in versions 39.8.9, 40.9.2, 41.2.2, and 42.0.0-beta.5.

Bereitgestellt wird das Advisory unter github.com. Die Verwundbarkeit wird seit dem 04.08.2026 als CVE-2026-70601 geführt. Sie gilt als leicht auszunutzen. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.

Ein Aktualisieren auf die Version 39.8.9, 40.9.2, 41.2.2 oder 42.0.0-beta.5 vermag dieses Problem zu lösen.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Produktinfo

Name

• Electron

Version

• 39.8.0
• 39.8.1
• 39.8.2
• 39.8.3
• 39.8.4
• 39.8.5
• 39.8.6
• 39.8.7
• 39.8.8
• 40.9.0
• 40.9.1
• 41.2.0
• 41.2.1
• 42.0.0-beta.0
• 42.0.0-beta.1
• 42.0.0-beta.2
• 42.0.0-beta.3
• 42.0.0-beta.4

Webseite

• Produkt: https://github.com/electron/electron/

CPE 2.3info

• 🔒
• 🔒
• 🔒

CPE 2.2info

• 🔒
• 🔒
• 🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 6.0

VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Remote Code Execution
CWE: CWE-653
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Electron 39.8.9/40.9.2/41.2.2/42.0.0-beta.5

Timelineinfo

04.08.2026 CVE zugewiesen
05.08.2026 +1 Tage Advisory veröffentlicht
05.08.2026 +0 Tage VulDB Eintrag erstellt
05.08.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Produkt: github.com

Advisory: github.com
Status: Bestätigt

CVE: CVE-2026-70601 (🔒)
GCVE (CVE): GCVE-0-2026-70601
GCVE (VulDB): GCVE-100-386281

Eintraginfo

Erstellt: 05.08.2026 19:10
Anpassungen: 05.08.2026 19:10 (54)
Komplett: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Diskussion

Want to know what is going to be exploited?

We predict KEV entries!