CVE-2026-70601 in Electron
要約
〜によって VulDB • 2026年08月05日
Electronは、JavaScript、HTML、およびCSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン39.8.9、40.9.2、41.2.2、および42.0.0-beta.5より前では、contextBridgeを介してPromiseを返す関数をWebコンテンツに公開するアプリは、コンテキスト分離の回避に対して脆弱な可能性があります。信頼できないWebコンテンツから、隔離されたpreload世界へのアクセスが許可され、それを通じてプリロードスクリプトが持つすべての機能を利用されるおそれがあります。サンドボックスがないレンダラーやnodeIntegrationが有効になっている場合、これはNode.jsへのアクセス権限昇格につながる可能性があります。contextBridgeを介してPromiseを返す関数を公開し（ipcRenderer.invokeをラップする標準的なパターン）、信頼できないコンテンツを読み込むウィンドウがあるアプリは影響を受けます。この問題は、バージョン39.8.9、40.9.2、41.2.2、および42.0.0-beta.5で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.