CVE-2026-34778：electron 服务worker欺骗漏洞，中危

Electron 中的 CVE-2026-34778 允许会话中运行的服务 worker 伪造 webContents.executeJavaScript() 和相关方法使用的内部 IPC 渠道上的回复消息。这可能导致主进程的 Promise 使用攻击者控制的数据解决。只有当应用程序注册了服务 worker 并且使用 webContents.executeJavaScript() (或 webFrameMain.executeJavaScript()) 的结果进行安全敏感决策时，应用程序才会受到影响。影响在于攻击者可能能够操纵应用程序关键逻辑中使用的任何数据，从而导致未经授权的操作或数据泄露。

Applications built with Electron that register service workers and utilize webContents.executeJavaScript() for security-sensitive operations are at risk. This includes desktop applications, web applications packaged as desktop apps, and any Electron-based tools that rely on the return values of webContents.executeJavaScript() for authentication, authorization, or data validation.

• nodejs / supply-chain: Monitor Electron application processes for unusual IPC activity. Use ps aux | grep electron to identify running Electron processes. Inspect the arguments passed to webContents.executeJavaScript() for suspicious patterns. • generic web: Examine application logs for errors related to IPC communication or unexpected data received from the renderer process. Look for unusual patterns in network traffic associated with the Electron application.

1. 2026-04-03Disclosure

   disclosure

1. 已保留2026-03-30
2. 发布日期2026-04-03
3. 修改日期2026-04-06
4. EPSS 更新日期2026-04-11

建议的解决方案是将 Electron 升级到 38.8.6 或更高版本。作为临时解决方法，请勿将 webContents.executeJavaScript() 的返回值用于安全敏感决策。考虑在主进程中实施额外的验证以验证接收到的数据的完整性。定期检查应用程序代码中任何可能存在漏洞的 webContents.executeJavaScript() 实例。升级到补丁版本是最有效的缓解措施，因为它解决了漏洞的根本原因。