इलेक्ट्रॉन: कस्टम प्रोटोकॉल हैंडलर और वेब रिक्वेस्ट में HTTP रिस्पॉन्स हेडर इंजेक्शन

इलेक्ट्रॉन में CVE-2026-34767 भेद्यता उन अनुप्रयोगों को प्रभावित करती है जो कस्टम प्रोटोकॉल को संभालने के लिए protocol.handle() या protocol.registerSchemesAsPrivileged का उपयोग करते हैं, या प्रतिक्रिया शीर्षकों को संशोधित करने के लिए webRequest.onHeadersReceived का उपयोग करते हैं। यदि कोई एप्लिकेशन हमलावर-नियंत्रित इनपुट को HTTP प्रतिक्रिया शीर्षलेख नाम या मान में दर्शाता है, तो यह HTTP प्रतिक्रिया शीर्षलेख इंजेक्शन के लिए असुरक्षित हो सकता है। यह हमलावर को अतिरिक्त प्रतिक्रिया शीर्षलेखों को इंजेक्ट करने की अनुमति देता है, जिससे संभावित रूप से कुकीज़, सामग्री सुरक्षा नीति (CSP) या क्रॉस-ओरिजिन एक्सेस नियंत्रण (CORS) में हेरफेर किया जा सकता है। प्रभाव सत्र कुकीज़ के हेरफेर से लेकर एप्लिकेशन व्यवहार में परिवर्तन और संवेदनशील जानकारी के संभावित प्रकटीकरण तक हो सकता है।

Applications built with Electron that register custom protocol handlers or modify response headers are at risk. This includes desktop applications, command-line tools, and web applications packaged as Electron apps. Shared hosting environments where multiple Electron applications share the same server resources are particularly vulnerable, as a compromise in one application could potentially affect others.

• linux / server: Monitor Electron application logs for unusual HTTP response headers. Use ss or lsof to identify processes handling network traffic and correlate with Electron application processes.

lsof -i :80 | grep electron

• generic web: Use curl to inspect HTTP response headers from Electron applications. Look for unexpected or suspicious headers.

curl -I https://example.com/electron-app | grep -i 'header-name:'

1. 2026-04-03Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-03
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-11

अनुशंसित समाधान इलेक्ट्रॉन को संस्करण 38.8.6 या उच्चतर में अपग्रेड करना है। इस संस्करण में भेद्यता के लिए एक सुधार शामिल है। इसके अतिरिक्त, प्रतिक्रिया शीर्षकों के निर्माण के लिए उपयोग किए जाने वाले किसी भी उपयोगकर्ता-प्रदत्त इनपुट को सख्ती से मान्य और सैनिटाइज करें। प्रतिक्रिया शीर्षलेख नामों या मानों में उपयोगकर्ता-नियंत्रित डेटा को सीधे जोड़ने से बचें। दुर्भावनापूर्ण वर्णों के इंजेक्शन को रोकने के लिए उचित एन्कोडिंग लागू करें। संभावित हमले के वेक्टरों की पहचान करने और कम करने के लिए एप्लिकेशन का गहन सुरक्षा परीक्षण करें।