PT-2026-54018 · Npm · Electron-Updater

Publicado 2026-06-30 · Atualizado 2026-07-01 · CVE-2026-54672

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas electron-updater versões anteriores a 26.15.0

Description Alvos AppImage construídos pelo app-builder-lib podem usar um componente de caminho vazio ao definir a variável de ambiente LD LIBRARY PATH em tempo de execução. Esse comportamento faz com que o diretório de trabalho atual seja adicionado ao caminho de pesquisa do linker dinâmico, permitindo potencialmente que um invasor execute código arbitrário ao colocar uma biblioteca compartilhada maliciosa no diretório a partir do qual o AppImage é iniciado.

Recommendations Atualize para a versão 26.15.0 ou posterior.

Correção

Uncontrolled Search Path Element

Enumeração de Fraquezas

CWE-427

Identificadores relacionados

CVE-2026-54672

Produtos afetados

Electron-Updater

Referências · 4

• https://github.com/electron-userland/electron-builder/commit/01b8ba979 · Nota
• https://github.com/electron-userland/electron-builder/security/advisories/GHSA-7g7r-gx96-252g · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-54672 · Nota de Segurança
• https://twitter.com/DFIR_Lab/status/2072139487740563655 · Publicação no Twitter