CVE-2023-23623 in Electron
要約
〜によって VulDB • 2026年06月27日
Electronは、JavaScript、HTML、およびCSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。evalを無効にするContent-Security-Policy（具体的にはscript-srcディレクティブを設定し、その中でunsafe-evalを提供しない場合）が、サンドボックスが無効になっているレンダラーでは尊重されません。つまり、webPreferencesオブジェクトで`sandbox: false`が設定されている場合です。これにより、eval()やnew Functionなどのメソッドが予期せず使用可能になり、攻撃対象範囲が拡大する可能性があります。この問題はElectronのメジャーバージョン22および23にのみ影響を与え、これらのリリースラインの最新バージョンで修正されています。具体的には、以下のバージョンに修正が含まれています：22.0.1 および 23.0.0-alpha.2 すべてのアプリケーションはElectronの最新の安定版へのアップグレードを推奨します。アップグレードが不可能な場合、レンダラーすべてで`sandbox: true`を有効化することで、アップグレードなしにこの問題を解決できます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.