Veille sécuritéFrontend
P4Moyenne
Les vérifications de permissions HID et USB déclenchées depuis une iframe pouvaient être évaluées avec l’origine et les détails de la frame principale, plutôt qu’avec ceux de la frame demanderesse. Une application autorisant ces périphériques selon l’origine pouvait accorder un accès indu à une iframe inter-origines ; appliquer le correctif ou ne pas déléguer ces permissions à du contenu non fiable.
ElectronJavaScript
IdentifiantCVE-2026-113800
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif42.11.3, 43.7.0, 44.3.0, 45.0.0-alpha.5
Analyse technique
Le défaut concerne session.setPermissionCheckHandler() et les vérifications HID/USB effectuées depuis une iframe.
Impact, versions et correctif
Événement datéLa publication NVD est horodatée 2026-10-21T17:18:25.270Z, soit 2026-10-21T19:18:25.270+02:00, dans la période demandée. L’avis GitHub est associé à la même CVE.
ImpactDu contenu intégré pouvait bénéficier d’un accès à un périphérique HID ou USB accordé selon l’origine de la page englobante.
Versions affectéesVersions antérieures à 42.11.3, 43.7.0, 44.3.0 et 45.0.0-alpha.5
Version corrigée42.11.3, 43.7.0, 44.3.0, 45.0.0-alpha.5
ContournementNe pas ajouter allow="hid" ou allow="usb" aux iframes non fiables, ou prendre la décision dans le gestionnaire select-hid-device / select-usb-device à partir de details.frame.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-10-21T19:18:25.270+02:00
Mise à jour2026-10-21T19:18:25.270+02:00
Action recommandée
Mettre à jour vers une version corrigée et ne pas déléguer HID/USB à des iframes non fiables sans vérification de leur frame.
Sources
Priorisation DFS : P4 · 2 source(s).