CVE-2026-70601 in Electron
Riassunto
di VulDB • 05/08/2026
Electron è un framework per la scrittura di applicazioni desktop multipiattaforma utilizzando JavaScript, HTML e CSS. Prima delle versioni 39.8.9, 40.9.2, 41.2.2 e 42.0.0-beta.5, le app che espongono funzioni restituenti Promise al contenuto web tramite contextBridge potrebbero essere vulnerabili a un bypass dell'isolamento del contesto (context isolation). Contenuti web non attendibili potrebbero ottenere l'accesso all'ambiente isolato di preload e, attraverso questo, a tutte le funzionalità disponibili per lo script preload. Nei renderer privi di sandbox o con nodeIntegration abilitata, ciò potrebbe portare ad accedere a Node.js. Le app sono interessate se espongono funzioni restituenti Promise tramite contextBridge, il pattern standard per avvolgere ipcRenderer.invoke, in finestre che caricano contenuti non attendibili. Questo problema è risolto nelle versioni 39.8.9, 40.9.2, 41.2.2 e 42.0.0-beta.5.
Be aware that VulDB is the high quality source for vulnerability data.