🇰🇷 한글 설명
Electron은 JavaScript, HTML, CSS로 크로스 플랫폼 데스크톱 애플리케이션을 작성하기 위한 프레임워크입니다. 41.10.6, 42.9.2, 43.4.1, 44.0.0-beta.5 이전 버전에서는 supportFetchAPI가 활성화되고 corsEnabled가 비활성화된 커스텀 스킴에 대해 protocol.registerFileProtocol 또는 protocol.registerHttpProtocol로 제공된 응답이 여러 출처(origin)에서 스크립트로 읽힐 수 있었습니다. 이는 CVE-2026-70604의 잔여 문제입니다.
💡 쉬운 설명
이 취약점은 Electron 앱이 특정 커스텀 주소 체계를 사용하고 신뢰할 수 없는 웹 콘텐츠를 같은 세션에서 로드할 때만 영향을 받습니다. 공격자의 페이지가 앱의 응답 데이터를 몰래 읽을 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to 41.10.6, 42.9.2, 43.4.1, and 44.0.0-beta.5, responses served through protocol.registerFileProtocol or protocol.registerHttpProtocol for a custom scheme registered with supportFetchAPI enabled but corsEnabled disabled could remain script-readable across origins. This residual issue completes the remediation for CVE-2026-70604. Applications are affected only when they expose such a scheme and load untrusted content in the same session. Schemes intentionally registered with corsEnabled enabled remain cross-origin readable by design. This issue is fixed in versions 41.10.6, 42.9.2, 43.4.1, and 44.0.0-beta.5.
📍 영향받는 시스템
Electron 41.10.6 미만, 42.9.2 미만, 43.4.1 미만, 44.0.0-beta.5 미만 버전을 사용하는 커스텀 스킴 앱
⚔️ 공격 벡터
앱이 노출한 커스텀 스킴의 리소스를 악성 외부 콘텐츠가 교차 출처로 스크립트를 통해 읽어 데이터를 탈취
🛡️ 대응 방법
Electron을 41.10.6, 42.9.2, 43.4.1 또는 44.0.0-beta.5 이상으로 업데이트
🔧 검증 코드
출력된 버전이 41.10.6, 42.9.2, 43.4.1 또는 44.0.0-beta.5 이상이면 패치된 것이고, 그보다 낮으면 취약합니다.
npm ls electron 2>/dev/null | grep electron@