JVNDB-2026-038481

Electronのelectronにおける複数の脆弱性

Electronは、JavaScript、HTML、およびCSSを使用してクロスプラットフォームのデスクトップアプリケーションを作成するためのフレームワークです。バージョン41.10.4、42.5.2、および43.0.0より前のElectronでは、OpenURLFromTabナビゲーションパスを介してサンドボックス化されたiframeから開かれたポップアップ（target="_blank"や中クリックを使用したリンクを含む）が、継承されたHTMLサンドボックス制限を受けていませんでした。そのため、allow-scriptsおよびallow-popupsの構成を使用した信頼できないiframeが、埋め込みアプリケーションの完全なオリジンでポップアップを開くことができ、そのオリジンのクッキー、ストレージ、および同一オリジンスクリプト機能を露出させてしまいました。サンドボックス化されたiframe内に信頼できないコンテンツを埋め込んでいないアプリケーションには影響がありません。この問題はバージョン41.10.4、42.5.2、および43.0.0で修正されています。

Electron

• electron 39.8.8 未満
• electron 40.0.0 以上 40.9.0 未満
• electron 41.0.0 から 41.2.1
• electron 42.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Electron drops inherited HTML sandbox restrictions for popups opened through OpenURLFromTab  Advisory  electron/electron  GitHub

1. 同一生成元ポリシー違反(CWE-346) [その他]
2. 保護メカニズムの不具合(CWE-693) [その他]

1. CVE-2026-102673

1. National Vulnerability Database (NVD) : CVE-2026-102673
2. 関連文書 : fix: inherit iframe sandbox flags in windows opened on the OpenURL na…  electron/electron@e26b264  GitHub
3. 関連文書 : Release electron v41.10.4  electron/electron  GitHub
4. 関連文書 : fix: inherit iframe sandbox flags in windows opened on the OpenURL na…  electron/electron@ebe1165  GitHub
5. 関連文書 : fix: inherit iframe sandbox flags in windows opened on the OpenURL navigation path by MarshallOfSound  Pull Request #52133  electron/electron
6. 関連文書 : fix: inherit iframe sandbox flags in windows opened on the OpenURL na…  electron/electron@7ea14d5  GitHub
7. 関連文書 : Release electron v42.5.2  electron/electron  GitHub
8. 関連文書 : Release electron v43.0.0  electron/electron  GitHub

• [2026年10月16日]
    掲載