इलेक्ट्रॉन: विंडोज पर app.setAsDefaultProtocolClient में रजिस्ट्री कुंजी पाथ इंजेक्शन (Registry key path injection)

इलेक्ट्रॉन में CVE-2026-34773 विंडोज पर app.setAsDefaultProtocolClient(protocol) का उपयोग करने वाले अनुप्रयोगों को प्रभावित करता है। समस्या यह है कि फ़ंक्शन विंडोज रजिस्ट्री में लिखने से पहले प्रोटोकॉल नाम को ठीक से मान्य नहीं करता है। यह एक हमलावर को अनुमति देता है, यदि एप्लिकेशन अविश्वसनीय स्रोतों से प्रोटोकॉल नाम स्वीकार करता है, तो HKCU\Software\Classes\ के नीचे किसी भी सबकी में लिखने की अनुमति देता है। यह लेखन मौजूदा प्रोटोकॉल हैंडलर को हाईजैक करने की अनुमति दे सकता है, जिससे दुर्भावनापूर्ण कोड का निष्पादन हो सकता है या किसी विशिष्ट प्रोटोकॉल के साथ लिंक खोलने का प्रयास करते समय उपयोगकर्ता को अवांछित वेबसाइटों पर रीडायरेक्ट किया जा सकता है। यह भेद्यता केवल तभी प्रासंगिक है जब प्रोटोकॉल नाम बाहरी या अविश्वसनीय इनपुट से प्राप्त होता है।

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-03
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-11

CVE-2026-34773 को कम करने का तरीका इलेक्ट्रॉन को संस्करण 38.8.6 या उच्चतर में अपडेट करना है। इस संस्करण में विंडोज रजिस्ट्री में लिखने से पहले प्रोटोकॉल नाम को ठीक से मान्य करने की क्षमता शामिल है। यदि तत्काल अपडेट संभव नहीं है, तो app.setAsDefaultProtocolClient() को पास करने से पहले उपयोगकर्ता द्वारा प्रदान किए गए प्रोटोकॉल नाम को पूरी तरह से मान्य करने की सिफारिश की जाती है। मजबूत सत्यापन में अनुमत प्रोटोकॉल की एक श्वेतसूची शामिल होनी चाहिए और इस सूची से मेल न खाने वाले किसी भी इनपुट को अस्वीकार कर देना चाहिए। इसके अतिरिक्त, अपने एप्लिकेशन कोड की जांच करें कि क्या app.setAsDefaultProtocolClient() का उपयोग बाहरी स्रोतों से डेटा के साथ किया जा रहा है, और आवश्यक सत्यापन लागू करें।