CVE-2026-34775
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Electronie przed wersjami 38.8.6, 39.8.4, 40.8.4 i 41.0.0 stwierdzono nieprawidłowe zakresowanie ustawienia nodeIntegrationInWorker. W pewnych scenariuszach współdzielenia procesów, workerzy uruchomieni w ramkach z wyłączoną integracją Node.js mogli ją otrzymać. Problem dotyczy tylko aplikacji, które włączają nodeIntegrationInWorker.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane wykonanie kodu Node.js w kontekście workera, co może prowadzić do wycieku danych lub eskalacji uprawnień w aplikacjach desktopowych.
Rekomendacja
Zaleca się natychmiastową aktualizację Electrona do wersji 38.8.6, 39.8.4, 40.8.4 lub 41.0.0. Jeśli nie jest to możliwe, wyłącz nodeIntegrationInWorker.
Oryginalny opis (angielski, źródło NVD)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 38.8.6, 39.8.4, 40.8.4, and 41.0.0, the nodeIntegrationInWorker webPreference was not correctly scoped in all configurations. In certain process-sharing scenarios, workers spawned in frames configured with nodeIntegrationInWorker: false could still receive Node.js integration. Apps are only affected if they enable nodeIntegrationInWorker. Apps that do not use nodeIntegrationInWorker are not affected. This issue has been patched in versions 38.8.6, 39.8.4, 40.8.4, and 41.0.0.