noname Electron : serveur local vulnérable permettant la modification de fichiers depuis un site malveillant

Veille sécuritéFrontend

P3Élevée

Dans les versions de bureau noname Electron 1.11.2 à 1.11.6.1, un serveur de fichiers local non authentifié avec CORS générique peut être sollicité par un site malveillant pour lire, modifier ou supprimer des fichiers d’installation. L’écrasement de scripts du renderer peut permettre l’exécution de JavaScript avec les privilèges Node.js de l’utilisateur local ; aucune version corrigée n’est précisée dans les éléments fournis.

IdentifiantCVE-2026-123208

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : CVE-2026-123208 — NVD

Analyse technique

Le serveur local écoute sur le port 8089 et autorise les requêtes cross-origin avec CORS générique. La route /writeFile peut être utilisée pour écraser des fichiers d’installation, notamment des scripts du renderer.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-11-05 à 19:17:20Z, dans la période demandée.

ImpactLecture, écriture ou suppression de fichiers d’installation ; l’écrasement de scripts du renderer peut entraîner l’exécution de JavaScript avec accès Node.js sous l’identité de l’utilisateur local.

Versions affectéesnoname Electron desktop 1.11.2 à 1.11.6.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.7 · CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Publication2026-11-05T19:17:20.380Z

Mise à jour2026-11-05T19:17:20.380Z

Action recommandée

Mettre à jour noname vers une version corrigée dès qu’elle est disponible; la version corrigée n’a pas pu être établie à partir des sources consultées.

Sources

CVE-2026-123208 — NVD

Priorisation DFS : P3 · 1 source(s).