इलेक्ट्रॉन: डाउनलोड सेव डायलॉग कॉलबैक में यूज़-आफ्टर-फ्री (Use-after-free)

CVE-2026-34772 उन Electron अनुप्रयोगों को प्रभावित करता है जो डाउनलोड की अनुमति देते हैं और प्रोग्रामेटिक रूप से उपयोगकर्ता सत्रों को नष्ट कर देते हैं। यह भेद्यता मुक्त किए गए मेमोरी (use-after-free) के संभावित उपयोग में निहित है। यदि डाउनलोड के लिए देशी फ़ाइल सहेजने वाले संवाद बॉक्स खुला होने के दौरान सत्र नष्ट हो जाता है, तो संवाद बॉक्स को बंद करने से पहले से मुक्त मेमोरी तक पहुंच हो सकती है, जिससे एप्लिकेशन क्रैश या मेमोरी भ्रष्टाचार हो सकता है। यह भेद्यता उन अनुप्रयोगों के लिए विशेष रूप से प्रासंगिक है जो फ़ाइल डाउनलोड का प्रबंधन करते हैं और गतिशील सत्र समाप्ति तंत्र को लागू करते हैं। CVSS गंभीरता स्कोर 5.8 है, जो मध्यम जोखिम का संकेत देता है।

Applications built with Electron that allow downloads and programmatically destroy user sessions are at risk. This includes desktop applications, progressive web apps (PWAs), and any Electron-based software that handles file downloads and user authentication. Specifically, applications with poorly implemented session management or download handling are particularly vulnerable.

• windows / supply-chain: Monitor Electron processes (Get-Process electron) for unusual memory usage patterns. Check scheduled tasks for suspicious scripts that might be manipulating Electron sessions.

Get-Process electron | Select-Object Name, CPU, WorkingSet

• linux / server: Use journalctl to filter for Electron application crashes or errors related to memory access.

journalctl -u electron -g 'memory access' --since '1 hour'

• generic web: Examine web application logs for errors related to Electron components or download processes. Check for unusual network requests associated with Electron applications.

1. 2026-04-03Disclosure

   disclosure

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-03
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-11

CVE-2026-34772 के लिए प्राथमिक शमन डाउनलोड सहेजने वाले संवाद बॉक्स सक्रिय होने के दौरान उपयोगकर्ता सत्रों को नष्ट करने से बचना है। यदि डाउनलोड चल रहा है, तो सत्र को बंद करने से पहले डाउनलोड को रद्द करने की सिफारिश की जाती है। Electron संस्करण 38.8.6 में अपग्रेड करना अंतिम समाधान है, क्योंकि इस संस्करण में इस भेद्यता के लिए फिक्स शामिल है। इसके अतिरिक्त, डाउनलोड के दौरान प्रारंभिक सत्र समाप्ति के किसी भी उदाहरण की पहचान करने और ठीक करने के लिए एप्लिकेशन कोड की समीक्षा करना महत्वपूर्ण है। गहन परीक्षण इस प्रकार की समस्या का पता लगाने और रोकने में मदद कर सकता है।