CVE-2026-34766
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Electron przed wersjami 38.8.6, 39.8.0, 40.7.0 i 41.0.0-beta.8 funkcja zwrotna select-usb-device nie waliduje wybranego identyfikatora urządzenia względem filtrowanej listy. Aplikacja, której procedura obsługi może zostać nakłoniona do wybrania urządzenia spoza filtrowanego zestawu, może uzyskać dostęp do nieautoryzowanego urządzenia USB.
Ocena ryzyka
Aplikacje z niestandardową logiką wyboru urządzeń USB mogą nieumyślnie udzielić dostępu do urządzeń, które nie powinny być dostępne, co może prowadzić do wycieku danych lub nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Electron do wersji 38.8.6, 39.8.0, 40.7.0 lub 41.0.0-beta.8.
Oryginalny opis (angielski, źródło NVD)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 38.8.6, 39.8.0, 40.7.0, and 41.0.0-beta.8, the select-usb-device event callback did not validate the chosen device ID against the filtered list that was presented to the handler. An app whose handler could be influenced to select a device ID outside the filtered set would grant access to a device that did not match the renderer's requested filters or was listed in exclusionFilters. The WebUSB security blocklist remained enforced regardless, so security-sensitive devices on the blocklist were not affected. The practical impact is limited to apps with unusual device-selection logic. This issue has been patched in versions 38.8.6, 39.8.0, 40.7.0, and 41.0.0-beta.8.