इलेक्ट्रॉन: कॉन्टेक्स्ट आइसोलेशन (Context Isolation) बाईपास कॉन्टेक्स्टब्रिज (contextBridge) वीडियोफ्रेम (VideoFrame) ट्रांसफर के माध्यम से
प्लेटफ़ॉर्म
nodejs
कॉम्पोनेन्ट
electron
### प्रभाव वे ऐप्स जो `VideoFrame` ऑब्जेक्ट्स (वेबकोडेक्स एपीआई (WebCodecs API) से) को `contextBridge` के माध्यम से पास करते हैं, वे कॉन्टेक्स्ट आइसोलेशन (context isolation) बाईपास के प्रति संवेदनशील हैं। एक हमलावर जो मुख्य दुनिया में जावास्क्रिप्ट (JavaScript) निष्पादित कर सकता है (उदाहरण के लिए, एक्सएसएस (XSS) के माध्यम से) एक ब्रिज किए गए `VideoFrame` का उपयोग आइसोलेटेड वर्ल्ड (isolated world) तक पहुंचने के लिए कर सकता है, जिसमें प्रीलोड स्क्रिप्ट (preload script) के लिए उजागर कोई भी Node.js एपीआई (API) शामिल है। ऐप्स केवल तभी प्रभावित होते हैं जब एक प्रीलोड स्क्रिप्ट (preload script) `contextBridge.exposeInMainWorld()` के माध्यम से मुख्य दुनिया को एक `VideoFrame` ऑब्जेक्ट लौटाती है, हल करती है या पास करती है। जो ऐप्स `VideoFrame` ऑब्जेक्ट्स को ब्रिज नहीं करते हैं वे प्रभावित नहीं होते हैं। ### समाधान `VideoFrame` ऑब्जेक्ट्स को `contextBridge` के माध्यम से पास न करें। यदि किसी ऐप को वीडियो फ्रेम डेटा (video frame data) स्थानांतरित करने की आवश्यकता है, तो ब्रिजिंग से पहले इसे `ArrayBuffer` या `ImageBitmap` में क्रमबद्ध करें। ### फिक्स्ड वर्शन * `41.0.0-beta.8` * `40.7.0` * `39.8.0` ### अधिक जानकारी के लिए यदि इस एडवाइजरी (advisory) के बारे में कोई प्रश्न या टिप्पणी है, तो कृपया [security@electronjs.org](mailto:security@electronjs.org) पर ईमेल करें
कैसे ठीक करें
कोई आधिकारिक पैच उपलब्ध नहीं है। वैकल्पिक समाधान खोजें या अपडेट की निगरानी करें।
अपनी निर्भरताओं की स्वचालित निगरानी करें
जब नई कमज़ोरियाँ आपके प्रोजेक्ट को प्रभावित करें तो अलर्ट पाएं।
मुफ़्त शुरू करें