BrowserView window.open() 漏洞修复
·一分钟阅读
已发现一个代码漏洞,允许在子窗口中重新启用 Node。
使用 sandbox: true
或 nativeWindowOpen: true
和 nodeIntegration: false
打开 BrowserView 会导致 webContents,其中可以调用 window.open
,并且新打开的子窗口将启用 nodeIntegration
。此漏洞影响所有受支持的 Electron 版本。
缓解措施
我们发布了新版本的 Electron,其中包含此漏洞的修复程序:2.0.17
、3.0.15
、3.1.3
、4.0.4
和 5.0.0-beta.2
。 我们鼓励所有 Electron 开发者立即将其应用程序更新到最新的稳定版本。
如果由于某种原因您无法升级您的 Electron 版本,您可以通过禁用所有子 web 内容来缓解此问题
view.webContents.on('-add-new-contents', (e) => e.preventDefault());
更多信息
此漏洞由 PalmerAL 负责任地发现并报告给 Electron 项目。
要了解有关保持 Electron 应用程序安全的最佳实践的更多信息,请参阅我们的安全教程。
如果您想报告 Electron 中的漏洞,请发送电子邮件至 security@electronjs.org。