Unknown · Electron-Builder · CVE-2024-27303
**Nome do software vulnerável e versões afetadas**
Versões do electron-builder anteriores à 24.13.2
**Descrição**
Uma vulnerabilidade no electron-builder para Windows permite que um invasor execute um arquivo malicioso chamado cmd.exe se ele estiver na mesma pasta que o instalador. O instalador NSIS faz uma chamada de sistema para abrir o cmd.exe via NSExec no script de instalação `.nsh`. O NSExec pesquisa o diretório atual antes de pesquisar o `PATH`, o que possibilita o ataque. Este problema foi corrigido na versão 24.13.2.
**Recomendações**
Para versões anteriores à 24.13.2, atualize para a versão 24.13.2 para resolver o problema. Como solução alternativa temporária, considere evitar o uso do instalador NSIS até que a atualização seja aplicada. Restrinja o acesso à pasta do instalador para minimizar o risco de exploração. Evite colocar quaisquer arquivos executáveis na mesma pasta que o instalador.