JVNDB-2026-014914

Electerm projectのElectermにおける複数の脆弱性

electermはオープンソースのターミナル/ssh/sftp/telnet/シリアルポート/RDP/VNC/Spice/ftpクライアントです。バージョン3.8.15以前では、src/app/lib/ipc-sync.js内のgetConstants() IPCハンドラがprocess.envオブジェクト全体をシリアライズしてレンダラーに送信します。このデータはwindow.pre.envとして保存され、レンダラー上で動作する任意のJavaScript（例：DevToolsコンソールや侵害されたWebViewコンテキスト経由）からアクセス可能です。攻撃者がレンダラー内で任意のJavaScript実行を達成すると、これらの秘密情報をリモートサーバーに簡単に送信でき、それによってクラウドアカウントの乗っ取りやサプライチェーン攻撃、および横展開が引き起こされます。公開時点で、利用可能なパッチは存在しません。

Electerm project

• Electerm 3.8.15 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Full process.env exposed to renderer via window.pre.env in electerm  Advisory  electerm/electerm  GitHub

1. 情報漏えい(CWE-200) [その他]
2. 重要な情報の平文保存(CWE-312) [その他]

1. CVE-2026-43942

1. National Vulnerability Database (NVD) : CVE-2026-43942

• [2026年05月11日]
    掲載