CVE-2023-23623 in Electron
Tóm tắt
Bởi VulDB • 29/06/2026
Electron là một khung phát triển cho phép bạn viết các ứng dụng máy tính để bàn đa nền tảng bằng JavaScript, HTML và CSS. Một chính sách Content-Security-Policy (CSP) vô hiệu hóa eval, cụ thể là thiết lập directive `script-src` mà _không_ cung cấp giá trị `unsafe-eval` trong directive đó, không được tôn trọng bởi các renderer có tính năng sandbox bị tắt. Tức là cấu hình `sandbox: false` trong đối tượng `webPreferences`. Điều này cho phép sử dụng các phương thức như `eval()` và `new Function` một cách bất ngờ, dẫn đến việc mở rộng bề mặt tấn công (attack surface). Vấn đề này chỉ ảnh hưởng đến phiên bản chính 22 và 23 của Electron và đã được sửa chữa trong các phiên bản mới nhất của các dòng phát hành đó. Cụ thể, các phiên bản sau chứa bản vá: 22.0.1 và 23.0.0-alpha.2 Chúng tôi khuyến nghị tất cả các ứng dụng nâng cấp lên phiên bản ổn định (stable) mới nhất của Electron. Nếu không thể nâng cấp, vấn đề này có thể được giải quyết mà không cần nâng cấp bằng cách kích hoạt `sandbox: true` trên tất cả các renderer.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.