Electron · Electron · CVE-2022-36077
**Nome do software vulnerável e versões afetadas**
Versões do Electron anteriores à 21.0.0-beta.1
Versões do Electron anteriores à 20.0.1
Versões do Electron anteriores à 19.0.11
Versões do Electron anteriores à 18.3.7
**Descrição**
A estrutura do Electron está vulnerável à exposição de informações confidenciais. Ao seguir um redirecionamento, o Electron atrasa a verificação de redirecionamento para URLs do tipo file:// a partir de outros esquemas. Se o destino do redirecionamento for uma URL SMB, como `file://some.website.com/`, o Windows pode se conectar a esse servidor e tentar a autenticação NTLM, o que pode incluir o envio de credenciais com hash.
**Recomendações**
Para versões anteriores à 21.0.0-beta.1, atualize para a versão 21.0.0-beta.1 ou posterior.
Para versões anteriores à 20.0.1, atualize para a versão 20.0.1 ou posterior.
Para versões anteriores à 19.0.11, atualize para a versão 19.0.11 ou posterior.
Para versões anteriores à 18.3.7, atualize para a versão 18.3.7 ou posterior.
Como solução alternativa temporária, impeça redirecionamentos para URLs `file://` no evento `WebContents.on(‘will-redirect’)` para todos os WebContents. Isso pode ser feito adicionando um ouvinte de evento ao evento `web-contents-created` e verificando a URL no evento `will-redirect`. Se a URL começar com `file://`, impeça o comportamento padrão.