プラットフォーム
nodejs
コンポーネント
electron
修正版
38.8.7
39.0.1
40.0.1
41.0.1
38.8.6
CVE-2026-34772は、electronに存在するUse-After-Freeの脆弱性です。この脆弱性により、ダウンロードを許可し、プログラムでセッションを破棄するアプリケーションにおいて、ネイティブのファイル保存ダイアログが開いている間にセッションが破棄されると、解放されたメモリが参照され、クラッシュやメモリ破損が発生する可能性があります。影響を受けるのは、ランタイム時にセッションを破棄する、またはダウンロードを許可するアプリケーションです。この問題はバージョン38.8.6で修正されました。
CVE-2026-34772 は、ダウンロードを許可し、ユーザーセッションをプログラムで破棄する Electron アプリケーションに影響します。この脆弱性は、解放されたメモリ (use-after-free) の潜在的な使用にあります。ダウンロード用のネイティブファイル保存ダイアログが開いている間にセッションが終了した場合、ダイアログを閉じると、既に解放されたメモリにアクセスする可能性があり、アプリケーションのクラッシュやメモリ破損につながる可能性があります。この脆弱性は、ファイルダウンロードを管理し、動的なセッション終了メカニズムを実装するアプリケーションにとって特に重要です。CVSS 重度スコアは 5.8 で、中程度のリスクを示しています。
この脆弱性の悪用には、Electron アプリケーションが実行されている間にダウンロードを開始し、保存ダイアログが完了する前にユーザーセッションの終了を同時にトリガーする必要があります。これは、ダウンロードが進行中の間にセッションの終了をトリガーするユーザーアクションなど、慎重に調整された一連のイベントを通じて実現できる可能性があります。悪用の難易度は、アプリケーションのアーキテクチャと、セッションとダウンロードがどのように管理されるかによって異なります。悪用が成功すると、任意のコードの実行またはサービス拒否につながる可能性があります。
Applications built with Electron that allow downloads and programmatically destroy user sessions are at risk. This includes desktop applications, progressive web apps (PWAs), and any Electron-based software that handles file downloads and user authentication. Specifically, applications with poorly implemented session management or download handling are particularly vulnerable.
• windows / supply-chain: Monitor Electron processes (Get-Process electron) for unusual memory usage patterns. Check scheduled tasks for suspicious scripts that might be manipulating Electron sessions.
Get-Process electron | Select-Object Name, CPU, WorkingSet• linux / server: Use journalctl to filter for Electron application crashes or errors related to memory access.
journalctl -u electron -g 'memory access' --since '1 hour'• generic web: Examine web application logs for errors related to Electron components or download processes. Check for unusual network requests associated with Electron applications.
disclosure
エクスプロイト状況
EPSS
0.02% (4% パーセンタイル)
CISA SSVC
CVE-2026-34772 の主な軽減策は、ダウンロード保存ダイアログがアクティブな間はユーザーセッションを破棄しないことです。ダウンロードが進行中の場合は、セッションを終了する前にダウンロードをキャンセルすることをお勧めします。Electron バージョン 38.8.6 へのアップグレードは、この脆弱性の修正が含まれているため、決定的な解決策です。さらに、ダウンロード中にセッションが早期に終了するインスタンスを特定して修正するために、アプリケーションコードを確認することが重要です。徹底的なテストは、このタイプの問題を検出および防止するのに役立ちます。
Actualice a una versión de Electron que incluya la corrección, como 38.8.6, 39.8.0, 40.7.0 o 41.0.0-beta.8. Asegúrese de probar exhaustivamente su aplicación después de la actualización para garantizar la compatibilidad. Si no es posible actualizar inmediatamente, considere implementar medidas de mitigación para evitar la destrucción de sesiones mientras se abren diálogos de guardado de archivos.
脆弱性分析と重要アラートをメールでお届けします。
Electron は、HTML、CSS、JavaScript などの Web テクノロジーを使用してクロスプラットフォームデスクトップアプリケーションを構築するためのフレームワークです。
この脆弱性により、アプリケーションがクラッシュしたり、予期しない動作をしたりする可能性があります。より深刻なケースでは、攻撃者がユーザーのシステムで悪意のあるコードを実行する可能性があります。
この脆弱性の修正が含まれているバージョン 38.8.6 またはそれ以降のバージョンにアップグレードすることを強くお勧めします。
一時的な回避策として、ダウンロードが進行中の間はセッションを破棄しないか、セッションを終了する前に保留中のダウンロードをキャンセルすることができます。
National Vulnerability Database (NVD) などの脆弱性データベースと、Electron のドキュメントで、CVE-2026-34772 についてさらに情報を入手できます。
CVSS ベクトル