Zaloguj się
Deutsch English Español Polski
Średnia

Electron: weryfikacja uprawnień HID i USB może zostać przypisana do niewłaściwego źródła

  • Ujawniono: 21.10.2026
  • Aktualizacja: 21.10.2026 20:25

Wpływ

Podczas sprawdzania uprawnień dla hid i usb pochodzących z ramki iframe, do session.setPermissionCheckHandler przekazywane było pochodzenie (origin) oraz szczegóły ramki najwyższego poziomu zamiast danych wnioskującej ramki. Aplikacje zezwalające na te uprawnienia w oparciu o pochodzenie mogą przez to przyznać osadzonej ramce dostęp przeznaczony dla strony nadrzędnej.

Podatność dotyczy wyłącznie aplikacji korzystających z setPermissionCheckHandler z logiką opartą na pochodzeniu dla hid lub usb, które osadzają ramki iframe z innego źródła przy użyciu allow="hid" lub allow="usb". Aplikacje, które nie delegują tych funkcji do niezaufanych ramek iframe, nie są dotknięte problemem.

Obejścia

Nie dodawaj allow="hid" / allow="usb" do niezaufanych ramek iframe lub podejmuj decyzję w procedurze obsługi select-hid-device / select-usb-device za pomocą details.frame.

Wersje naprawione

  • 45.0.0-alpha.5
  • 44.3.0
  • 43.7.0
  • 42.11.3

Więcej informacji

W przypadku pytań lub uwag dotyczących tego komunikatu prosimy o kontakt pod adresem security@electronjs.org.

Co trzeba zrobić

Zaktualizuj do wersji 45.0.0-alpha.5, 44.3.0, 43.7.0, 42.11.3 lub nowszej.

Jeśli aktualizacja nie jest natychmiast możliwa, zastosuj obejścia:

  • Nie dodawaj allow="hid" ani allow="usb" do niezaufanych ramek iframe.
  • Podejmuj decyzje o przyznaniu uprawnień w procedurze obsługi select-hid-device / select-usb-device przy użyciu details.frame.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka npm electron >= 45.0.0-alpha.1, < 45.0.0-alpha.5, >= 44.0.0-alpha.1, < 44.3.0, >= 43.0.0-alpha.1, < 43.7.0, < 42.11.3 45.0.0-alpha.5, 44.3.0, 43.7.0, 42.11.3

Odnośniki

Ocena CVSS 5.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-346
Platforma
npm
Paczka
electron
Ujawniono
21.10.2026
Aktualizacja
21.10.2026 20:25

Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.

OSV / GitHub Advisory Database - GHSA-fw47-9c62-h3vw - CC BY 4.0

Historia podatności: electron

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (72) w archiwum
Wszystkich wpisów
72
Pierwsza → ostatnia
10.2017 10.2026
Bez poprawki
0
Wykorzystywana w atakach
3

Rozkład istotności

  • Krytyczna 3
  • Wysoka 26
  • Średnia 33
  • Niska 10

Ujawnienia w latach

Istotność:
  1. Electron: weryfikacja uprawnień HID i USB może zostać przypisana do niewłaściwego źródła ten wpis
    Średnia · 5.4 CVE-2026-113800 >= 45.0.0-alpha.1, < 45.0.0-alpha.5, >= 44.0.0-alpha.1, < 44.3.0, >= 43.0.0-alpha.1, < 43.7.0, < 42.11.3 45.0.0-alpha.5, 44.3.0, 43.7.0, 42.11.3
  2. Electron drops inherited HTML sandbox restrictions for popups opened through OpenURLFromTab
    Wysoka · 8.2 CVE-2026-102673 < 41.10.4, >= 42.0.0-alpha.1, < 42.5.2, >= 43.0.0-alpha.1, < 43.0.0 41.10.4, 42.5.2, 43.0.0
  3. Electron: Windows opened from a sandboxed top-level document do not inherit its sandbox restrictions
    Wysoka · 8.2 CVE-2026-102674 < 41.10.6, >= 42.0.0-alpha.1, < 42.9.2, >= 43.0.0-alpha.1, < 43.4.1, >= 44.0.0-alpha.1, < 44.0.0-beta.5 41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5
  4. Electron: File and HTTP protocol handlers allow cross-origin reads without corsEnabled
    Wysoka · 7.4 CVE-2026-102675 < 41.10.6, >= 42.0.0-alpha.1, < 42.9.2, >= 43.0.0-alpha.1, < 43.4.1, >= 44.0.0-alpha.1, < 44.0.0-beta.5 41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5
  5. Electron: <webview> can enable Node.js integration in Web Workers despite embedder restrictions
    Wysoka · 8.3 CVE-2026-102676 < 41.10.6, >= 42.0.0-alpha.1, < 42.9.2, >= 43.0.0-alpha.1, < 43.4.1, >= 44.0.0-alpha.1, < 44.0.0-beta.5 41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5
  6. Electron: Sandboxed preload code cache can be poisoned by a compromised renderer
    Wysoka · 7.8 CVE-2026-102677 >= 42.3.3, < 42.10.0, >= 43.0.0-beta.1, < 43.5.0, >= 44.0.0-alpha.1, < 44.0.0-beta.6 42.10.0, 43.5.0, 44.0.0-beta.6
  7. Electron: Sandboxed iframe can bypass the allow-popups restriction via the OpenURL navigation path
    Wysoka · 7.2 CVE-2026-70608 >= 42.0.0-alpha.1, < 42.0.1, >= 40.0.0-alpha.1, < 41.10.3, < 39.8.10 42.0.1, 41.10.3, 39.8.10
  8. Electron: Custom protocol with supportFetchAPI but not corsEnabled allows cross-origin reads
    Wysoka · 7.4 CVE-2026-70604 >= 42.0.0-alpha.1, < 42.0.0, >= 41.0.0-alpha.1, < 41.4.0, >= 40.0.0-alpha.1, < 40.9.3, < 39.8.10 42.0.0, 41.4.0, 40.9.3, 39.8.10
  9. Electron: Context isolation bypass via Function.prototype.bind hijack
    Wysoka · 7.5 CVE-2026-70601 < 39.8.9, >= 40.0.0-alpha.1, < 40.9.2, >= 41.0.0-alpha.1, < 41.2.2, >= 42.0.0-alpha.1, < 42.0.0-beta.5 39.8.9, 40.9.2, 41.2.2, 42.0.0-beta.5
  10. Electron: Buffer performs incorrect byte length calculations resulting in heap buffer under/overflow
    Krytyczna CVE-2026-54257 >= 42.3.1, < 42.3.3 42.3.3
  11. Electron: Context Isolation bypass via contextBridge VideoFrame transfer
    Wysoka · 8.3 CVE-2026-34780 >= 39.0.0-alpha.1, < 39.8.0, >= 40.0.0-alpha.1, < 40.7.0, >= 41.0.0-alpha.1, < 41.0.0-beta.8 39.8.0, 40.7.0, 41.0.0-beta.8
  12. Electron: Use-after-free in offscreen child window paint callback
    Wysoka · 8.1 CVE-2026-34774 < 39.8.1, >= 40.0.0-alpha.1, < 40.7.0, >= 41.0.0-alpha.1, < 41.0.0 39.8.1, 40.7.0, 41.0.0
  13. Electron: Use-after-free in WebContents fullscreen, pointer-lock, and keyboard-lock permission callbacks
    Wysoka · 7.5 CVE-2026-34771 < 38.8.6, >= 39.0.0-alpha.1, < 39.8.0, >= 40.0.0-alpha.1, < 40.7.0, >= 41.0.0-alpha.1, < 41.0.0-beta.8 38.8.6, 39.8.0, 40.7.0, 41.0.0-beta.8
  14. Electron: Use-after-free in PowerMonitor on Windows and macOS
    Wysoka · 7.0 CVE-2026-34770 < 38.8.6, >= 39.0.0-alpha.1, < 39.8.1, >= 40.0.0-alpha.1, < 40.8.0, >= 41.0.0-alpha.1, < 41.0.0-beta.8 38.8.6, 39.8.1, 40.8.0, 41.0.0-beta.8
  15. Electron: Renderer command-line switch injection via undocumented commandLineSwitches webPreference
    Wysoka · 7.7 CVE-2026-34769 < 38.8.6, >= 39.0.0-alpha.1, < 39.8.0, >= 40.0.0-alpha.1, < 40.7.0, >= 41.0.0-alpha.1, < 41.0.0-beta.8 38.8.6, 39.8.0, 40.7.0, 41.0.0-beta.8
  16. electron ASAR Integrity bypass by just modifying the content
    Wysoka · 7.8 CVE-2024-46992 >= 30.0.0-alpha.1, < 30.0.5, >= 31.0.0-alpha.1, < 31.0.0-beta.1 30.0.5, 31.0.0-beta.1
  17. Electron affected by libvpx's heap buffer overflow in vp8 encoding
    Wysoka · 8.8 Wykorzystywana w atakach CVE-2023-5217 < 22.3.25, >= 24.0.0, < 24.8.5, >= 25.0.0, < 25.8.4, >= 26.0.0, < 26.2.4, >= 27.0.0-alpha.1, < 27.0.0-beta.8 22.3.25, 24.8.5, 25.8.4, 26.2.4, 27.0.0-beta.8
  18. libwebp: OOB write in BuildHuffmanTable
    Wysoka · 8.8 Wykorzystywana w atakach CVE-2023-4863 >= 22.0.0, < 22.3.24, >= 24.0.0, < 24.8.3, >= 25.0.0, < 25.8.1, >= 26.0.0, < 26.2.1, >= 27.0.0-beta.1, < 27.0.0-beta.2 22.3.24, 24.8.3, 25.8.1, 26.2.1, 27.0.0-beta.2
  19. Electron's Content-Secrity-Policy disabling eval not applied consistently in renderers with sandbox disabled
    Wysoka · 7.5 CVE-2023-23623 >= 22.0.0-beta.1, < 22.0.1, >= 23.0.0-alpha.1, < 23.0.0-alpha.2 22.0.1, 23.0.0-alpha.2
  20. Heap buffer overflow in GPU
    Krytyczna · 9.6 Wykorzystywana w atakach CVE-2022-4135 >= 19.0.0, < 19.1.8 19.1.8
Pokaż więcej (10) Widać 20 z 30

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.