平台
nodejs
组件
electron
修复版本
38.8.7
39.0.1
40.0.1
41.0.1
CVE-2026-34770是electron中一个释放后使用的漏洞，影响使用powerMonitor模块的应用。在原生PowerMonitor对象被垃圾回收后，相关的操作系统资源（Windows上的消息窗口，macOS上的关闭处理程序）保留了悬空引用。后续的会话更改事件（Windows）或系统关闭（macOS）会引用已释放的内存，可能导致崩溃或内存损坏。受影响的版本包括electron ≤38.8.6。所有访问powerMonitor事件的应用都可能受到影响。
Electron中的CVE-2026-34770影响了38.8.6、39.8.1、40.8.0及41.0.0-beta.8之前的版本，在使用powerMonitor模块时存在“use-after-free”漏洞。这是因为在原生PowerMonitor对象被垃圾回收后，相关的操作系统级别资源（Windows上的消息窗口、macOS上的关机处理程序）会保留悬空引用。后续的会话更改事件（Windows）或系统关机（macOS）可能会导致不可预测的行为，从而可能允许攻击者执行任意代码或导致拒绝服务。严重程度被评为CVSS 7.0，表明存在中等风险。
利用此漏洞需要攻击者能够在PowerMonitor对象被垃圾回收后触发会话更改事件（在Windows上）或系统关机事件（在macOS上）。这可以通过操纵操作系统或在Electron应用程序中执行恶意代码来实现。利用难度取决于攻击者控制系统事件流的能力。虽然利用可能很复杂，但潜在的影响（执行任意代码）证明了应用修复的必要性。
漏洞利用状态
EPSS
0.02% (4% 百分位)
CISA SSVC
解决此漏洞的方法是将Electron升级到38.8.6或更高版本、39.8.1或更高版本、40.8.0或更高版本或41.0.0-beta.8或更高版本。这些版本包含消除悬空引用并防止使用后释放的修复程序。强烈建议使用Electron的开发人员尽快更新其应用程序以减轻此风险。此外，请审查您的代码，以确保powerMonitor模块的使用是安全的，并且没有创建不必要的引用。应用安全补丁是维护Electron应用程序安全性的基本实践。
Actualice a una versión de Electron que incluya la corrección, como 38.8.6, 39.8.1, 40.8.0 o 41.0.0-beta.8. Esta actualización aborda el problema de uso posterior a la liberación al gestionar correctamente los recursos del sistema operativo después de que se recolecten mediante el recolector de basura.
漏洞分析和关键警报直接发送到您的邮箱。
当程序尝试访问已释放的内存时，就会发生这种情况，这可能导致不可预测的行为或安全漏洞。
这是一个Electron模块，允许应用程序监控和响应与系统电源相关的事件，例如电池更改或系统关机。
您可以在终端中运行electron --version来检查Electron版本。
如果无法立即更新，请考虑实施临时缓解措施，例如限制powerMonitor模块的使用或实施额外的检查以防止访问已释放的内存。
是的，有一些静态和动态分析工具可以帮助检测Electron代码中的“use-after-free”漏洞。
CVSS 向量