PT-2026-29999 · Electron · Electron

Publicado 2026-04-03 · Atualizado 2026-06-01 · CVE-2026-34769

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions Electron versões anteriores a 38.8.6, anteriores a 39.8.0, anteriores a 40.7.0 e anteriores a 41.0.0-beta.8.

Description Uma commandLineSwitches webPreference não documentada permitia que switches arbitrários fossem anexados à linha de comando do processo de renderização. Aplicativos que constroem webPreferences espalhando objetos de configuração não confiáveis podem inadvertidamente permitir que um invasor injete switches que desabilitem o sandbox do renderizador ou controles de segurança da web. Os aplicativos são afetados apenas se construírem webPreferences a partir de entrada externa ou não confiável sem uma lista de permissões. Aplicativos que usam um objeto webPreferences fixo e codificado não são afetados.

Recommendations Não espalhe entrada não confiável em webPreferences. Use uma lista de permissões explícita de chaves de preferência permitidas ao construir opções BrowserWindow ou webContents de configurações externas.

Exploit

Correção

Argument Injection

Hidden Functionality

Enumeração de Fraquezas

CWE-88

CWE-912

Identificadores relacionados

CVE-2026-34769

GHSA-9WFR-W7MM-PC7F

Produtos afetados

Electron

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34769.json · Exploit
• https://github.com/electron/electron/security/advisories/GHSA-9wfr-w7mm-pc7f · Aviso do Fabricante
• https://github.com/electron/electron · Nota
• https://twitter.com/CVEnew/status/2040481274352357698 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-34769 · Nota de Segurança
• https://access.redhat.com/security/cve/CVE-2026-34769 · Nota
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-34769.json · Nota
• https://twitter.com/SeedVEVO/status/2039982997689286963 · Publicação no Twitter
• https://twitter.com/dailycve/status/2061451618227306573 · Publicação no Twitter
• https://bugzilla.redhat.com/show_bug.cgi?id=2455004 · Nota
• https://osv.dev/vulnerability/CVE-2026-34769 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9wfr-w7mm-pc7f · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2040482553069457570 · Publicação no Twitter