Electron: USB-apparaatselectie niet gevalideerd aan de hand van gefilterde apparatenlijst

CVE-2026-34766 in Electron beïnvloedt de manier waarop USB-apparaten worden afgehandeld via WebUSB. Specifiek valideerde de callback-functie van het select-usb-device-evenement het geselecteerde apparaat-ID niet correct ten opzichte van de gefilterde lijst die aan de handler werd gepresenteerd. Dit stelde een kwaadwillige applicatie in staat, die de handler kan beïnvloeden, een apparaat-ID te selecteren die niet overeenkomt met de filters die door de renderer zijn aangevraagd, of die in de exclusionFilters-lijst staat. Hoewel de WebUSB-beveiligingszwarte lijst nog steeds van kracht was en gevoelige apparaten beschermde, stelde deze kwetsbaarheid toegang tot ongewenste apparaten mogelijk.

Applications built with Electron that implement custom WebUSB device selection logic are at the highest risk. This includes applications that allow users to select devices from a list or dynamically configure device filters. Developers using older Electron versions and those who haven't reviewed their device selection code are also at increased risk.

• nodejs / supply-chain: Monitor Electron application processes for unusual USB device access patterns. Use Get-Process in PowerShell to check for Electron processes with unexpected device handles.

Get-Process | Where-Object {$_.ProcessName -like "electron*"} | ForEach-Object {
  Get-Process -Id $_.Id | Select-Object DeviceHandles
}

• linux / server: Examine system logs (journalctl) for errors or warnings related to WebUSB device access. Filter for messages containing "WebUSB" or "select-usb-device".

journalctl | grep "WebUSB" -i

1. 2026-04-03Disclosure

   disclosure

1. Gereserveerd2026-03-30
2. Gepubliceerd2026-04-03
3. Gewijzigd2026-04-06
4. EPSS bijgewerkt2026-04-11

De oplossing voor deze kwetsbaarheid is het updaten naar Electron versie 38.8.6 of hoger. Deze update implementeert een strengere validatie van het geselecteerde apparaat-ID, waardoor wordt geverifieerd dat deze overeenkomt met de gespecificeerde filters. Ontwikkelaars worden ten zeerste aangeraden hun Electron-applicaties zo snel mogelijk bij te werken om dit risico te beperken. Controleer bovendien uw code op mogelijke ingangspunten waar een aanvaller de apparaatselectie kan beïnvloeden.