CVE-2023-23623 in Electron
Résumé
par VulDB • 29/06/2026
Electron est un framework qui permet de développer des applications desktop multiplateformes en utilisant JavaScript, HTML et CSS. Une Content-Security-Policy (CSP) désactivant eval, spécifiquement via la définition d'une directive `script-src` sans inclure `unsafe-eval`, n'est pas respectée dans les processus renderers lorsque le sandbox est désactivé. C'est-à-dire avec l'option `sandbox: false` définie dans l'objet `webPreferences`. Cela permet une utilisation inattendue de méthodes telles que `eval()` et `new Function`, ce qui peut élargir la surface d'attaque. Ce problème affecte uniquement les versions majeures 22 et 23 d'Electron et a été corrigé dans les dernières versions de ces branches de publication. Plus précisément, les correctifs sont inclus dans les versions suivantes : 22.0.1 et 23.0.0-alpha. Nous recommandons à toutes les applications de passer à la dernière version stable d'Electron. Si une mise à niveau n'est pas possible, ce problème peut être résolu sans mettre à jour en activant `sandbox: true` sur tous les processus renderers.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.