Electron : utilisation après libération dans les rappels d’autorisation de plein écran, de verrouillage du pointeur et de verrouillage du clavier de WebContents

Cette vulnérabilité, CVE-2026-34771, affecte les applications Electron qui utilisent un gestionnaire de requêtes de permissions asynchrones (session.setPermissionRequestHandler()). Un attaquant pourrait exploiter cette faille en provoquant une navigation ou une fermeture de la fenêtre pendant que le gestionnaire de permission est en attente. Par exemple, une application de retouche photo utilisant Electron pourrait être compromise si un utilisateur ouvre un fichier malveillant qui déclenche une requête de permission fullscreen. Si le gestionnaire de permission asynchrone est en cours d'exécution lorsque la fenêtre se ferme, l'appel à la fonction de rappel stockée peut entraîner une tentative d'accès à une mémoire libérée (use-after-free). Cela pourrait conduire à un plantage de l'application, à une corruption de la mémoire, et potentiellement à une exécution de code arbitraire si l'attaquant peut contrôler le contenu de la mémoire corrompue. Le risque est particulièrement élevé pour les applications qui gèrent des données sensibles, telles que des informations financières ou personnelles, car une corruption de la mémoire pourrait compromettre l'intégrité de ces données. Le rayon d'impact est limité aux applications Electron vulnérables et à leurs utilisateurs. Une application qui ne définit pas de gestionnaire de permission ou dont le gestionnaire répond de manière synchrone n'est pas concernée.

Applications built using Electron that register asynchronous session.setPermissionRequestHandler() are at risk. This includes a wide range of desktop applications, particularly those that handle user permissions or interact with system resources. Developers using Electron for cross-platform development, especially those relying on third-party libraries or components that utilize permission request handlers, should prioritize patching.

• linux / server: Monitor Electron application logs for crashes or segmentation faults. Use ps aux | grep electron to identify running Electron processes and check their resource usage for anomalies.

journalctl -u electron -f | grep -i crash

• windows / supply-chain: Use Process Monitor to observe Electron processes and identify any unusual memory access patterns or crashes. Check Autoruns for suspicious Electron-related entries.

Get-Process -Name electron | Select-Object Id, CPU, WorkingSet

• generic web: If the Electron application interacts with a web server, examine web server access logs for unusual requests that might trigger the permission request handler.

1. 2026-04-03Disclosure

   disclosure

1. Réservé2026-03-30
2. Publiée2026-04-03
3. Modifiée2026-04-08
4. EPSS mis à jour2026-04-11

La solution la plus efficace pour corriger CVE-2026-34771 est de mettre à jour votre application Electron vers une version corrigée. Les versions corrigées sont 38.8.6, 39.8.0, 40.7.0 et 41.0.0-beta.8. Il est fortement recommandé de procéder à cette mise à jour dès que possible. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire consiste à éviter l'utilisation de gestionnaires de requêtes de permissions asynchrones (session.setPermissionRequestHandler()). Si cela n'est pas possible, assurez-vous que le gestionnaire de permission répond de manière synchrone. Après la mise à jour, il est important de vérifier que la vulnérabilité a bien été corrigée en testant l'application avec des scénarios qui déclenchent des requêtes de permission fullscreen, pointer-lock ou keyboard-lock, et en s'assurant qu'aucune erreur ou plantage ne se produit.