Electron: nodeIntegrationInWorker não está corretamente definido em processos de renderização partilhados

A CVE-2026-34775 afeta o Electron, um framework popular para a criação de aplicações de desktop multiplataforma. A vulnerabilidade reside na forma como a preferência web nodeIntegrationInWorker é tratada. Em versões anteriores a 38.8.6, 39.8.4, 40.8.4 e 41.0.0, esta preferência não era corretamente escopo em todas as configurações. Isso significava que, em determinados cenários de compartilhamento de processos, workers criados em frames configurados com nodeIntegrationInWorker: false ainda poderiam receber a integração do Node.js. Essa integração permite que os workers executem código JavaScript com acesso às APIs do Node.js, o que pode ser perigoso se não for devidamente controlado. A vulnerabilidade é relevante apenas para aplicações que habilitam explicitamente nodeIntegrationInWorker. A severidade da vulnerabilidade foi classificada como 6.8 na escala CVSS.

Applications built with Electron that utilize workers and have enabled nodeIntegrationInWorker are at risk. This includes desktop applications that handle sensitive data, interact with external APIs, or process user input. Shared hosting environments where multiple Electron applications share resources could also be vulnerable if one application is compromised.

• linux / server:

ps aux | grep -i electron | grep -i 'nodeIntegrationInWorker'

• windows / supply-chain:

Get-Process -Name Electron | Select-Object -ExpandProperty Path | ForEach-Object { Get-ChildItem $_ -Recurse | Where-Object {$_.Name -match 'nodeIntegrationInWorker'}} 

• generic web: Inspect Electron application's web preferences for nodeIntegrationInWorker configuration. Review application code for worker creation and usage patterns.

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-03-30
2. Publicada2026-04-03
3. Modificada2026-04-08
4. EPSS atualizado2026-04-11

A solução para mitigar a CVE-2026-34775 é atualizar para uma versão do Electron que corrija a vulnerabilidade. As versões afetadas são todas as versões anteriores a 38.8.6, 39.8.4, 40.8.4 e 41.0.0. Recomenda-se fortemente atualizar para a versão mais recente disponível (atualmente 38.8.6 ou superior). Além disso, revise a configuração de nodeIntegrationInWorker em sua aplicação para garantir que ela seja habilitada apenas quando absolutamente necessário. Se nodeIntegrationInWorker não for usado, desabilitá-la pode reduzir a superfície de ataque da aplicação. A atualização deve ser realizada seguindo as instruções de atualização fornecidas pela equipe do Electron.