Veille sécuritéFrontend
P3Élevée
Electron ne bloque pas certains certificats intermédiaires eMudhra compromis dans les connexions réseau Chromium et les API TLS/HTTPS/fetch de Node.js. Un attaquant disposant d’un certificat émis par ces autorités et capable d’intercepter le trafic peut usurper un serveur TLS auprès d’une application vulnérable.
ElectronJavaScript
IdentifiantCVE-2026-115570
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif42.11.16, 43.8.1, 44.9.1, 45.0.0-beta.6
Source : NVD — CVE-2026-115570
Analyse technique
Le défaut concerne le traitement des certificats compromis dans les connexions réseau Chromium et Node.js tls, https et fetch. Les applications sans connexion TLS ne sont pas concernées selon l’avis éditeur.
Impact, versions et correctif
Événement datéRetenu comme nouvel avis de sécurité : la fiche NVD indique une vulnérabilité et des versions corrigées, et sa publication est datée du 2026-10-23 dans la période demandée. La modification NVD du même jour n’est pas considérée seule comme l’événement.
ImpactRisque d’usurpation de serveur TLS et d’interception des communications des applications Electron concernées.
Versions affectéesVersions antérieures à 42.11.16, 43.8.1, 44.9.1 et 45.0.0-beta.6
Version corrigée42.11.16, 43.8.1, 44.9.1, 45.0.0-beta.6
ContournementAucun contournement côté application indiqué ; mettre Electron à jour.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Publication2026-10-23T19:17:44.470Z
Mise à jour2026-10-23T21:17:22.657Z
Action recommandée
Mettre à niveau Electron vers une version corrigée.
Sources
Priorisation DFS : P3 · 1 source(s).