electron-builder's NSIS installer - execute arbitrary code on the target machine (Windows only)
Impact
Windows-Only: The NSIS installer makes a system call to open cmd.exe via NSExec in the .nsh installer script. NSExec by default searches the current directory of where the installer is located before searching PATH. This means that if an attacker can place a malicious executable file named cmd.exe in the same folder as the installer, the installer will run the malicious file.
Patches
Fixed in https://github.com/electron-userland/electron-builder/pull/8059
Workarounds
None, it executes at the installer-level before the app is present on the system, so there's no way to check if it exists in a current installer.
References
https://cwe.mitre.org/data/definitions/426.html https://cwe.mitre.org/data/definitions/427
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | app-builder-lib | < 24.13.2 | 24.13.2 |
Referencias
- https://github.com/electron-userland/electron-builder/security/advisories/GHSA-r4pf-3v7r-hh55
- https://nvd.nist.gov/vuln/detail/CVE-2024-27303
- https://github.com/electron-userland/electron-builder/pull/8059
- https://github.com/electron-userland/electron-builder/commit/8f4acff3c2d45c1cb07779bb3fe79644408ee387
- https://github.com/electron-userland/electron-builder
- Vector CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-426, CWE-427- Plataforma
- npm
- Paquete
app-builder-lib- Publicada
- 04.03.2024
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-r4pf-3v7r-hh55 - CC BY 4.0
Historial de vulnerabilidades: app-builder-lib
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 03.2024 07.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 2
Divulgaciones por año
- 2024: 1
- 2025: 0
- 2026: 1
-
electron-builder's NSIS installer - execute arbitrary code on the target machine (Windows only) esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.