平台
nodejs
组件
electron
修复版本
38.8.7
39.0.1
40.0.1
41.0.1
CVE-2026-34769是electron中的一个命令行注入漏洞。未公开的commandLineSwitches webPreference允许将任意开关附加到渲染器进程命令行。如果应用通过展开不可信的配置对象来构建webPreferences，攻击者可能注入开关来禁用渲染器沙箱或Web安全控制。受影响的版本包括electron ≤38.8.6。建议不要将不可信的输入展开到webPreferences中。
Electron中的CVE-2026-34769允许攻击者将任意开关注入到渲染进程的命令行中。这是由于一个未记录的commandLineSwitches webPreference允许附加额外的开关。当Electron应用程序从不受信任的配置对象构建其webPreferences时，会利用此漏洞。攻击者可以利用此漏洞禁用渲染器沙箱或Web安全控制，从而导致任意代码执行或未经授权的数据访问。受影响的版本是38.8.6、39.8.0、40.7.0和41.0.0-beta.8之前的版本。CVSS严重程度为7.8，表示高风险。
如果攻击者能够影响Electron应用程序的webPreferences配置，则可以利用此漏洞。这可能发生在应用程序从外部文件加载配置或允许用户通过用户界面自定义webPreferences时。攻击者可以将恶意开关注入到渲染器命令行中，从而允许他们禁用渲染器沙箱并在Electron应用程序的上下文中执行任意代码。利用的复杂性取决于攻击者控制webPreferences配置的能力。
Applications built with Electron that dynamically construct webPreferences from external or untrusted sources are at significant risk. This includes applications that load configuration files from user-provided locations or integrate with third-party services without proper input validation. Shared hosting environments where multiple Electron applications share the same system resources are also particularly vulnerable.
• windows / supply-chain:
Get-Process | Where-Object {$_.ProcessName -like '*electron*'} | Select-Object -ExpandProperty CommandLine• linux / server:
ps aux | grep electron | grep -- '--command-line-switches='• generic web: Inspect Electron application startup arguments for suspicious or unexpected command-line switches using process monitoring tools.
disclosure
漏洞利用状态
EPSS
0.02% (6% 百分位)
CISA SSVC
CVE-2026-34769的主要缓解措施是更新到包含修复程序的Electron版本，特别是38.8.6或更高版本。如果无法立即更新，请仔细审查构建webPreferences的代码，并确保未使用不受信任的数据源。避免使用来自外部来源且未经彻底验证的webPreferences配置对象。实施对用于配置webPreferences的所有用户输入的严格验证可以帮助防止恶意开关注入。监控应用程序日志以查找可疑活动也有助于检测和响应潜在攻击。
Actualice a una versión de Electron 38.8.6 o superior, 39.8.0 o superior, 40.7.0 o superior, o 41.0.0-beta.8 o superior. Evite construir webPreferences a partir de fuentes externas o no confiables sin una lista blanca de opciones permitidas.
漏洞分析和关键警报直接发送到您的邮箱。
Electron是一个使用HTML、CSS和JavaScript等Web技术创建跨平台桌面应用程序的框架。
此漏洞可能允许攻击者破坏Electron应用程序的安全性，从而导致数据丢失或恶意代码执行。
如果您的Electron应用程序使用38.8.6、39.8.0、40.7.0或41.0.0-beta.8之前的版本，则容易受到此漏洞的影响。
仔细审查构建webPreferences的代码并验证所有用户输入。
请参阅Electron安全公告和版本说明以获取更多详细信息。
CVSS 向量