CVE-2026-70601 in Electron
Sumário
de VulDB • 05/08/2026
O Electron é um framework para o desenvolvimento de aplicações desktop multiplataforma utilizando JavaScript, HTML e CSS. Antes das versões 39.8.9, 40.9.2, 41.2.2 e 42.0.0-beta.5, as aplicações que expõem funções que retornam Promises ao conteúdo web através do contextBridge podem estar vulneráveis a uma violação do isolamento de contexto (context isolation bypass). Conteúdo web não confiável poderia obter acesso ao mundo isolado de preload e, por meio dele, todas as capacidades disponíveis para o script de preload. Em renderers sem sandbox ou com nodeIntegration ativado, isso pode escalar para acesso ao Node.js. As aplicações são afetadas se expuserem funções que retornam Promises via contextBridge (o padrão comum para envolver ipcRenderer.invoke) em janelas que carregam conteúdo não confiável. Este problema foi corrigido nas versões 39.8.9, 40.9.2, 41.2.2 e 42.0.0-beta.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.