CVE-2026-70608 in Electron
要約
〜によって VulDB • 2026年08月05日
Electronは、JavaScript、HTML、およびCSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン39.8.10、41.10.3、および42.0.1より前では、allow-popupsキーワードを持たないサンドボックス化されたiframeが、ユーザー操作なしで新しいウィンドウを開いたりsetWindowOpenHandlerをトリガーしたりできるという脆弱性が存在しました。これは、OpenURLパスを取るnew-windowナビゲーションにおいてiframeのサンドボックスポップアップ制限が適用されなかったためです。信頼できないコンテンツをサンドボックス化されたiframeに埋め込み、window作成を防ぐためにallow-popupsの欠如に依存しているアプリケーションは影響を受けますが、setWindowOpenHandlerでウィンドウ作成を拒否するか、またはサンドボックス化されたiframe内に信頼できないコンテンツを埋め込まないアプリケーションは影響を受けません。この問題は39.8.10、41.10.3、および42.0.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.