Iniciar sesión
Deutsch English Español Polski
Alta

Electron: Sandboxed iframe can bypass the allow-popups restriction via the OpenURL navigation path

  • Publicada: 05.08.2026
  • Actualizado: 11.10.2026 10:22

Impact

A sandboxed iframe without the allow-popups keyword could still open a new window (or trigger setWindowOpenHandler) with no user interaction, because new-window navigations taking the OpenURL path did not apply the iframe sandbox popup restriction.

Apps that embed untrusted content in sandboxed iframes and rely on the absence of allow-popups to prevent window creation are affected. Apps that deny window creation in setWindowOpenHandler, or that do not embed untrusted content in sandboxed iframes, are not affected.

Workarounds

Return { action: 'deny' } from setWindowOpenHandler for any content you do not trust, rather than relying on the iframe sandbox alone.

Fixed Versions

  • 42.0.1
  • 41.10.3
  • 39.8.10

For more information

If you have any questions or comments about this advisory, email Electron at security@electronjs.org

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de npm electron >= 42.0.0-alpha.1, < 42.0.1, >= 40.0.0-alpha.1, < 41.10.3, < 39.8.10 42.0.1, 41.10.3, 39.8.10

Referencias

Puntuación CVSS 7.2/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Debilidad (CWE)
CWE-1021, CWE-693
Plataforma
npm
Paquete
electron
Publicada
05.08.2026
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-9f4c-93c8-jc8g - CC BY 4.0

Historial de vulnerabilidades: electron

Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (71) en el archivo
Entradas en total
71
Primera → última
10.2017 09.2026
Sin corrección
0
Explotada en ataques
3

Distribución por gravedad

  • Crítica 3
  • Alta 26
  • Media 32
  • Baja 10

Divulgaciones por año

Gravedad:
  1. Electron drops inherited HTML sandbox restrictions for popups opened through OpenURLFromTab
    Alta · 8.2 CVE-2026-102673 < 41.10.4, >= 42.0.0-alpha.1, < 42.5.2, >= 43.0.0-alpha.1, < 43.0.0 41.10.4, 42.5.2, 43.0.0
  2. Electron: Windows opened from a sandboxed top-level document do not inherit its sandbox restrictions
    Alta · 8.2 CVE-2026-102674 < 41.10.6, >= 42.0.0-alpha.1, < 42.9.2, >= 43.0.0-alpha.1, < 43.4.1, >= 44.0.0-alpha.1, < 44.0.0-beta.5 41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5
  3. Electron: File and HTTP protocol handlers allow cross-origin reads without corsEnabled
    Alta · 7.4 CVE-2026-102675 < 41.10.6, >= 42.0.0-alpha.1, < 42.9.2, >= 43.0.0-alpha.1, < 43.4.1, >= 44.0.0-alpha.1, < 44.0.0-beta.5 41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5
  4. Electron: <webview> can enable Node.js integration in Web Workers despite embedder restrictions
    Alta · 8.3 CVE-2026-102676 < 41.10.6, >= 42.0.0-alpha.1, < 42.9.2, >= 43.0.0-alpha.1, < 43.4.1, >= 44.0.0-alpha.1, < 44.0.0-beta.5 41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5
  5. Electron: Sandboxed preload code cache can be poisoned by a compromised renderer
    Alta · 7.8 CVE-2026-102677 >= 42.3.3, < 42.10.0, >= 43.0.0-beta.1, < 43.5.0, >= 44.0.0-alpha.1, < 44.0.0-beta.6 42.10.0, 43.5.0, 44.0.0-beta.6
  6. Electron: Sandboxed iframe can bypass the allow-popups restriction via the OpenURL navigation path esta entrada
    Alta · 7.2 CVE-2026-70608 >= 42.0.0-alpha.1, < 42.0.1, >= 40.0.0-alpha.1, < 41.10.3, < 39.8.10 42.0.1, 41.10.3, 39.8.10
  7. Electron: Custom protocol with supportFetchAPI but not corsEnabled allows cross-origin reads
    Alta · 7.4 CVE-2026-70604 >= 42.0.0-alpha.1, < 42.0.0, >= 41.0.0-alpha.1, < 41.4.0, >= 40.0.0-alpha.1, < 40.9.3, < 39.8.10 42.0.0, 41.4.0, 40.9.3, 39.8.10
  8. Electron: Context isolation bypass via Function.prototype.bind hijack
    Alta · 7.5 CVE-2026-70601 < 39.8.9, >= 40.0.0-alpha.1, < 40.9.2, >= 41.0.0-alpha.1, < 41.2.2, >= 42.0.0-alpha.1, < 42.0.0-beta.5 39.8.9, 40.9.2, 41.2.2, 42.0.0-beta.5
  9. Electron: Buffer performs incorrect byte length calculations resulting in heap buffer under/overflow
    Crítica CVE-2026-54257 >= 42.3.1, < 42.3.3 42.3.3
  10. Electron: Context Isolation bypass via contextBridge VideoFrame transfer
    Alta · 8.3 CVE-2026-34780 >= 39.0.0-alpha.1, < 39.8.0, >= 40.0.0-alpha.1, < 40.7.0, >= 41.0.0-alpha.1, < 41.0.0-beta.8 39.8.0, 40.7.0, 41.0.0-beta.8
  11. Electron: Use-after-free in offscreen child window paint callback
    Alta · 8.1 CVE-2026-34774 < 39.8.1, >= 40.0.0-alpha.1, < 40.7.0, >= 41.0.0-alpha.1, < 41.0.0 39.8.1, 40.7.0, 41.0.0
  12. Electron: Use-after-free in WebContents fullscreen, pointer-lock, and keyboard-lock permission callbacks
    Alta · 7.5 CVE-2026-34771 < 38.8.6, >= 39.0.0-alpha.1, < 39.8.0, >= 40.0.0-alpha.1, < 40.7.0, >= 41.0.0-alpha.1, < 41.0.0-beta.8 38.8.6, 39.8.0, 40.7.0, 41.0.0-beta.8
  13. Electron: Use-after-free in PowerMonitor on Windows and macOS
    Alta · 7.0 CVE-2026-34770 < 38.8.6, >= 39.0.0-alpha.1, < 39.8.1, >= 40.0.0-alpha.1, < 40.8.0, >= 41.0.0-alpha.1, < 41.0.0-beta.8 38.8.6, 39.8.1, 40.8.0, 41.0.0-beta.8
  14. Electron: Renderer command-line switch injection via undocumented commandLineSwitches webPreference
    Alta · 7.7 CVE-2026-34769 < 38.8.6, >= 39.0.0-alpha.1, < 39.8.0, >= 40.0.0-alpha.1, < 40.7.0, >= 41.0.0-alpha.1, < 41.0.0-beta.8 38.8.6, 39.8.0, 40.7.0, 41.0.0-beta.8
  15. electron ASAR Integrity bypass by just modifying the content
    Alta · 7.8 CVE-2024-46992 >= 30.0.0-alpha.1, < 30.0.5, >= 31.0.0-alpha.1, < 31.0.0-beta.1 30.0.5, 31.0.0-beta.1
  16. Electron affected by libvpx's heap buffer overflow in vp8 encoding
    Alta · 8.8 Explotada en ataques CVE-2023-5217 < 22.3.25, >= 24.0.0, < 24.8.5, >= 25.0.0, < 25.8.4, >= 26.0.0, < 26.2.4, >= 27.0.0-alpha.1, < 27.0.0-beta.8 22.3.25, 24.8.5, 25.8.4, 26.2.4, 27.0.0-beta.8
  17. libwebp: OOB write in BuildHuffmanTable
    Alta · 8.8 Explotada en ataques CVE-2023-4863 >= 22.0.0, < 22.3.24, >= 24.0.0, < 24.8.3, >= 25.0.0, < 25.8.1, >= 26.0.0, < 26.2.1, >= 27.0.0-beta.1, < 27.0.0-beta.2 22.3.24, 24.8.3, 25.8.1, 26.2.1, 27.0.0-beta.2
  18. Electron's Content-Secrity-Policy disabling eval not applied consistently in renderers with sandbox disabled
    Alta · 7.5 CVE-2023-23623 >= 22.0.0-beta.1, < 22.0.1, >= 23.0.0-alpha.1, < 23.0.0-alpha.2 22.0.1, 23.0.0-alpha.2
  19. Heap buffer overflow in GPU
    Crítica · 9.6 Explotada en ataques CVE-2022-4135 >= 19.0.0, < 19.1.8 19.1.8
  20. Electron vulnerable to remote command execution
    Alta · 8.1 CVE-2017-12581 < 1.6.8 1.6.8
Mostrar más (9) Mostrando 20 de 29

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.