平台
nodejs
组件
electron
修复版本
38.8.7
39.0.1
40.0.1
41.0.1
38.8.6
CVE-2026-34776是electron中的一个越界堆读取漏洞。在macOS和Linux上，调用app.requestSingleInstanceLock()的应用程序在解析精心设计的第二个实例消息时，容易受到越界堆读取的影响。泄露的内存可能被传递到应用程序的second-instance事件处理程序。此漏洞影响electron ≤38.8.6版本。已在41.0.0和40.8.1版本中修复。
CVE-2026-34776 影响 macOS 和 Linux 上的使用 app.requestSingleInstanceLock() 的 Electron 应用程序。此漏洞允许在解析构造的第二个实例消息时发生堆外读取。这可能导致内存泄露到应用程序的 second-instance 事件处理程序。重要的是要注意，此漏洞只能在以与 Electron 应用程序相同的用户身份运行的进程中利用。不调用 app.requestSingleInstanceLock() 的应用程序不受影响，并且 Windows 不受此问题的影响。
攻击者可以创建恶意的第二个实例消息并将其发送到使用 app.requestSingleInstanceLock() 的易受攻击的 Electron 应用程序。如果应用程序在没有适当验证的情况下处理此消息，则可能会发生堆外读取，从而可能允许攻击者读取敏感信息或执行任意代码。利用成功取决于攻击者控制第二个实例消息的能力以及进程以与 Electron 应用程序相同的权限运行。
Developers and users of Electron applications that utilize app.requestSingleInstanceLock() on macOS and Linux are at risk. This includes applications built using frameworks like React, Angular, or Vue.js that leverage Electron for desktop deployment. Shared hosting environments where multiple Electron applications run under the same user account could amplify the potential impact.
• linux / server: Monitor Electron application logs for errors related to memory access or crashes. Use ps and lsof to identify running Electron processes and their associated files.
ps aux | grep electron
lsof -p $(pidof electron)• windows / supply-chain: Use Process Monitor to observe Electron application processes and identify any unusual file access patterns or memory reads. Check Autoruns for any suspicious Electron-related entries.
Get-Process electron | Select-Object Id, ProcessName, Path• generic web: While this vulnerability is not directly web-facing, monitor Electron-based desktop applications for unexpected behavior or crashes after receiving second-instance messages.
disclosure
漏洞利用状态
EPSS
0.01% (3% 百分位)
CISA SSVC
建议的解决方案是升级到 Electron 版本 38.8.6 或更高版本。目前，没有可用于减轻此问题的应用程序级解决方法。强烈建议依赖 app.requestSingleInstanceLock() 的开发人员尽快更新其应用程序，以防止潜在攻击。定期监控 Electron 更新并应用安全补丁是维护应用程序安全性的基本实践。
Actualice a una versión de Electron que incluya la corrección, como 38.8.6, 39.8.1, 40.8.1 o 41.0.0. Esta actualización aborda una vulnerabilidad de lectura fuera de límites en el manejo de mensajes de segunda instancia, previniendo la posible fuga de memoria a aplicaciones que utilizan `app.requestSingleInstanceLock()`.
漏洞分析和关键警报直接发送到您的邮箱。
这是一个 Electron 函数，可确保应用程序的单个实例一次只能运行。如果启动第二个实例，它将连接到第一个实例。
如果您的 Electron 应用程序使用 app.requestSingleInstanceLock() 并且在 macOS 或 Linux 上运行，则很可能容易受到攻击。请检查您的 Electron 版本。
根据您的需求，您可以实现自己的逻辑来控制多个实例的执行，但这需要大量的开发工作。
虽然没有直接的解决方法，但请考虑实施额外的安全措施，例如严格验证输入数据，以减少利用风险。
不，此漏洞不会影响在 Windows 上运行的 Electron 应用程序。
CVSS 向量