Electron: Seleção de dispositivo USB não validada em relação à lista de dispositivos filtrados

A vulnerabilidade CVE-2026-34766 no Electron afeta a forma como os dispositivos USB são tratados através do WebUSB. Especificamente, a função de callback do evento select-usb-device não validava corretamente o ID do dispositivo selecionado em comparação com a lista filtrada apresentada ao manipulador. Isso permitiu que uma aplicação maliciosa, capaz de influenciar o manipulador, selecionasse um ID de dispositivo que não correspondia aos filters solicitados pelo renderizador ou que estivesse na lista exclusionFilters. Embora a lista negra de segurança do WebUSB continuasse a ser aplicada, protegendo os dispositivos sensíveis, esta vulnerabilidade permitiu o acesso a dispositivos indesejados.

Applications built with Electron that implement custom WebUSB device selection logic are at the highest risk. This includes applications that allow users to select devices from a list or dynamically configure device filters. Developers using older Electron versions and those who haven't reviewed their device selection code are also at increased risk.

• nodejs / supply-chain: Monitor Electron application processes for unusual USB device access patterns. Use Get-Process in PowerShell to check for Electron processes with unexpected device handles.

Get-Process | Where-Object {$_.ProcessName -like "electron*"} | ForEach-Object {
  Get-Process -Id $_.Id | Select-Object DeviceHandles
}

• linux / server: Examine system logs (journalctl) for errors or warnings related to WebUSB device access. Filter for messages containing "WebUSB" or "select-usb-device".

journalctl | grep "WebUSB" -i

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-03-30
2. Publicada2026-04-03
3. Modificada2026-04-06
4. EPSS atualizado2026-04-11

A correção para esta vulnerabilidade é atualizar para a versão 38.8.6 ou superior do Electron. Esta atualização implementa uma validação mais rigorosa do ID do dispositivo selecionado, garantindo que corresponda aos filtros especificados. Os desenvolvedores são fortemente encorajados a atualizar suas aplicações Electron o mais rápido possível para mitigar este risco. Além disso, revise seu código em busca de possíveis pontos de entrada onde um atacante possa influenciar a seleção do dispositivo.