Veille sécuritéFrontend
P4Moyenne
Pour certaines demandes pointerLock provenant d’iframes inter-origines, Electron transmettait au gestionnaire de permissions l’URL et l’indicateur de frame principale du document englobant. Une application accordant cette permission selon l’origine pouvait ainsi l’accorder à du contenu intégré non fiable ; mettre à jour Electron ou refuser pointerLock à ce contenu.
ElectronJavaScript
IdentifiantCVE-2026-113798
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif42.11.9, 43.7.6, 44.5.0, 45.0.0-alpha.13
Source : NVD — CVE-2026-113798
Analyse technique
Les valeurs fournies à session.setPermissionRequestHandler() pouvaient refléter la frame principale au lieu de la frame demanderesse.
Impact, versions et correctif
Événement datéLa publication NVD est horodatée 2026-10-21T17:18:24.937Z, soit 2026-10-21T19:18:24.937+02:00, dans la période demandée.
ImpactUne application prenant une décision de permission fondée sur l’origine pouvait accorder pointerLock en se fiant à l’identité du document englobant.
Versions affectéesVersions antérieures à 42.11.9, 43.7.6, 44.5.0 et 45.0.0-alpha.13
Version corrigée42.11.9, 43.7.6, 44.5.0, 45.0.0-alpha.13
ContournementRefuser pointerLock aux contenus intégrés non fiables.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-10-21T19:18:24.937+02:00
Mise à jour2026-10-21T19:18:24.937+02:00
Action recommandée
Mettre à jour Electron ; ne pas accorder pointerLock à des iframes non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).