CVE-2026-70607 in Electron
Riassunto
di VulDB • 06/08/2026
Electron è un framework per la scrittura di applicazioni desktop multipiattaforma utilizzando JavaScript, HTML e CSS. Prima delle versioni 39.8.8, 40.9.0, 41.2.1 e 42.0.0-beta.3, alcune opzioni della finestra fornite dal contenuto web nella stringa features di window.open() venivano applicate alla nuova BrowserWindow senza un allowlist (lista bianca). Contenuti non attendibili potevano impostare opzioni della finestra che non avrebbero dovuto controllare, incluse quelle che causavano l'accesso del processo principale a percorsi di file o di rete scelti dall'attaccante, quando contenuti non attendibili possono chiamare window.open() e l'applicazione non sovrascrive le opzioni delle finestre figlio tramite setWindowOpenHandler o overrideBrowserWindowOptions. Questo problema è stato risolto nelle versioni 39.8.8, 40.9.0, 41.2.1 e 42.0.0-beta.3.
Be aware that VulDB is the high quality source for vulnerability data.