CVE-2026-34775：electron nodeIntegrationInWorker配置错误

CVE-2026-34775 影响 Electron，这是一个用于使用 JavaScript、HTML 和 CSS 编写跨平台桌面应用程序的流行框架。在 38.8.6、39.8.4、40.8.4 和 41.0.0 之前的版本中，webPreference nodeIntegrationInWorker 未在所有配置中正确设置范围。这意味着在某些进程共享场景中，配置了 nodeIntegrationInWorker: false 的帧中启动的 worker 仍然可以接收 Node.js 集成。此集成允许 worker 使用访问 Node.js API 的权限执行 JavaScript 代码，如果未正确控制，则可能很危险。此漏洞仅与启用 nodeIntegrationInWorker 的应用程序相关。该漏洞的严重程度在 CVSS 规模上评为 6.8。

Applications built with Electron that utilize workers and have enabled nodeIntegrationInWorker are at risk. This includes desktop applications that handle sensitive data, interact with external APIs, or process user input. Shared hosting environments where multiple Electron applications share resources could also be vulnerable if one application is compromised.

• linux / server:

ps aux | grep -i electron | grep -i 'nodeIntegrationInWorker'

• windows / supply-chain:

Get-Process -Name Electron | Select-Object -ExpandProperty Path | ForEach-Object { Get-ChildItem $_ -Recurse | Where-Object {$_.Name -match 'nodeIntegrationInWorker'}} 

• generic web: Inspect Electron application's web preferences for nodeIntegrationInWorker configuration. Review application code for worker creation and usage patterns.

1. 2026-04-03Disclosure

   disclosure

1. 已保留2026-03-30
2. 发布日期2026-04-03
3. 修改日期2026-04-08
4. EPSS 更新日期2026-04-11

减轻 CVE-2026-34775 的解决方案是更新到修补了该漏洞的 Electron 版本。受影响的版本包括 38.8.6、39.8.4、40.8.4 和 41.0.0 之前的版本。强烈建议更新到最新可用版本（目前为 38.8.6 或更高版本）。此外，请检查应用程序中的 nodeIntegrationInWorker 配置，以确保仅在绝对必要时才启用它。如果未使用 nodeIntegrationInWorker，则禁用它可以通过减少应用程序的攻击面来降低风险。更新应按照 Electron 团队提供的升级说明进行。