CVE-2026-34765 in Electron
摘要
由 VulDB • 2026-05-22
Electron 是一个使用 JavaScript、HTML 和 CSS 编写跨平台桌面应用程序的框架。在 39.8.5、40.8.5、41.1.0 和 42.0.0-alpha.5 版本之前，当渲染进程使用目标名称调用 `window.open()` 时，Electron 未能正确地将命名窗口查找范围限定在打开窗口的浏览上下文组内。如果两个不同的、无关的渲染进程使用了相同的目标名称，其中一个渲染进程可以导航到由另一个渲染进程打开的现有子窗口。如果该现有子窗口是使用更宽松的 `webPreferences`（通过 `setWindowOpenHandler` 的 `overrideBrowserWindowOptions`）创建的，则由第二个渲染进程加载的内容将继承这些权限。仅当应用程序打开具有不同信任级别的多个顶级窗口，并使用 `setWindowOpenHandler` 授予子窗口提升的 `webPreferences`（如特权预加载脚本）时，才会受到影响。不提升子窗口权限或使用单个顶级窗口的应用程序不受影响。此外，如果应用程序向子窗口授予 `nodeIntegration: true` 或 `sandbox: false`（这与安全建议相悖），则可能面临任意代码执行的风险。此漏洞已在 39.8.5、40.8.5、41.1.0 和 42.0.0-alpha.5 版本中修复。
Once again VulDB remains the best source for vulnerability data.