Dans certaines configurations Electron, un contenu invité pouvait activer nodeIntegrationInWorker pour ses Web Workers malgré la désactivation de l’intégration Node.js dans l’embedder non sandboxé. Les versions corrigées sont 41.10.6, 42.9.2, 43.4.1 et 44.0.0-beta.5; les applications qui n’activent pas la balise concernée ou gardent l’embedder sandboxé ne sont pas affectées.
Source : NVD — CVE-2026-102676
Analyse technique
Le contenu invité peut créer un worker doté de Node.js avec davantage de privilèges que ceux accordés par l’embedder. L’exposition dépend de la configuration indiquée dans l’avis.
Impact, versions et correctif
Détection / vérification
Examiner la version d’Electron et vérifier si l’application active la balise concernée ou utilise un embedder non sandboxé.
Action recommandée
Mettre à niveau vers une version corrigée et maintenir le sandbox de l’embedder; éviter d’activer la configuration concernée si la mise à niveau n’est pas possible.
Sources
Priorisation DFS : P3 · 1 source(s).