Electron: WebContents फुलस्क्रीन, पॉइंटर-लॉक, और कीबोर्ड-लॉक अनुमति कॉलबैक में उपयोग-बाद-मुक्त (Use-after-free)

यह भेद्यता हमलावर को Electron एप्लिकेशन को क्रैश करने या मेमोरी भ्रष्टाचार का कारण बनने की अनुमति दे सकती है। मेमोरी भ्रष्टाचार के परिणामस्वरूप, हमलावर एप्लिकेशन के नियंत्रण को प्राप्त कर सकता है या संवेदनशील जानकारी तक पहुंच सकता है। यह विशेष रूप से उन अनुप्रयोगों के लिए गंभीर है जो उच्च विशेषाधिकारों के साथ चलते हैं या संवेदनशील डेटा को संभालते हैं। चूंकि Electron का उपयोग कई क्रॉस-प्लेटफ़ॉर्म डेस्कटॉप अनुप्रयोगों में किया जाता है, इसलिए इस भेद्यता का व्यापक प्रभाव हो सकता है। यदि हमलावर सफलतापूर्वक मेमोरी को दूषित करने में सक्षम है, तो वे एप्लिकेशन के व्यवहार को बदल सकते हैं, जिससे डेटा हानि या सिस्टम समझौता हो सकता है।

Applications built using Electron that register asynchronous session.setPermissionRequestHandler() are at risk. This includes a wide range of desktop applications, particularly those that handle user permissions or interact with system resources. Developers using Electron for cross-platform development, especially those relying on third-party libraries or components that utilize permission request handlers, should prioritize patching.

• linux / server: Monitor Electron application logs for crashes or segmentation faults. Use ps aux | grep electron to identify running Electron processes and check their resource usage for anomalies.

journalctl -u electron -f | grep -i crash

• windows / supply-chain: Use Process Monitor to observe Electron processes and identify any unusual memory access patterns or crashes. Check Autoruns for suspicious Electron-related entries.

Get-Process -Name electron | Select-Object Id, CPU, WorkingSet

• generic web: If the Electron application interacts with a web server, examine web server access logs for unusual requests that might trigger the permission request handler.

1. 2026-04-03Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-03
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-11

CVE-2026-34771 के लिए प्राथमिक शमन उपाय Electron को संस्करण 38.8.6 या बाद के संस्करण में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी समाधान के रूप में, एप्लिकेशन कोड की समीक्षा करें ताकि यह सुनिश्चित किया जा सके कि अनुमति अनुरोधों को ठीक से संभाला जा रहा है और कोई भी लंबित अनुरोध हैंडलर को विंडो बंद होने या फ्रेम नेविगेट करने के बाद एक्सेस नहीं किया जा रहा है। वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके भी अनुमति अनुरोधों को मॉनिटर किया जा सकता है और संदिग्ध गतिविधि को ब्लॉक किया जा सकता है। अपडेट करने के बाद, यह सत्यापित करें कि एप्लिकेशन सामान्य रूप से काम कर रहा है और कोई मेमोरी लीक या क्रैश नहीं हो रहा है।