SSL Validation Defaults to False in electron-packager
Affected versions of electron-packager configure the generated application to disable SSL certificate verification by default.
This could allow an attacker with a privileged network position to launch a Man In The Middle (MITM) attack on the install process, intercepting the step where electron-packager downloads Electron for supported target platforms and architectures, and replacing the valid download with a tampered malicious one.
This only affects users using the electron-packager CLI. The strict-ssl option defaults to true for the node.js API.
Recommendation
- Update to version 7.0.0 or later.
- Delete the
electron-downloadcache folder, which is by default located at~/.electron.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | electron-packager | >= 5.2.1, < 7.0.0 | 7.0.0 |
Verweise
- Schwäche (CWE)
CWE-295- Plattform
- npm
- Paket
electron-packager- Veröffentlicht
- 18.02.2019
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-q43m-ffwr-rpcc - CC BY 4.0
Schwachstellenhistorie: electron-packager
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.