CVE-2026-70600
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Electron to framework do tworzenia aplikacji desktopowych. Przed wersjami 39.8.8, 40.9.0, 41.2.1 i 42.0.0-beta.3 natywny popup autofill mógł być pozycjonowany przez iframe z innego pochodzenia poza granicami tego iframe, nad interfejsem strony osadzającej, co umożliwiało clickjacking lub podszywanie się pod zaufany interfejs. Aplikacje są dotknięte tylko wtedy, gdy osadzają niezaufane treści w iframe w oknach, które również wyświetlają zaufany interfejs. Aplikacje, które nie osadzają niezaufanych treści, nie są dotknięte.
Ocena ryzyka
Atakujący może wykorzystać clickjacking lub podszywanie się pod zaufany interfejs, co może prowadzić do nieautoryzowanych działań użytkownika lub kradzieży danych.
Rekomendacja
Zaleca się aktualizację Electron do wersji 39.8.8, 40.9.0, 41.2.1 lub 42.0.0-beta.3 lub nowszej. Jeśli aplikacja osadza niezaufane treści, należy rozważyć ograniczenie ich użycia.
Oryginalny opis (angielski, źródło NVD)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to 39.8.8, 40.9.0, 41.2.1, and 42.0.0-beta.3, the native autofill popup could be positioned by a cross-origin iframe outside that iframe's bounds, over the embedding page's UI, enabling clickjacking or spoofing of trusted UI. Apps are only affected if they embed untrusted content in iframes within windows that also display trusted UI. Apps that do not embed untrusted third-party content are not affected. This issue is fixed in versions 39.8.8, 40.9.0, 41.2.1, and 42.0.0-beta.3.