🇰🇷 한글 설명
Electron의 nodeIntegrationInWorker 웹 선호도가 특정 프로세스 공유 시나리오에서 제대로 범위화되지 않아, false로 설정된 프레임의 워커도 Node.js 통합을 받을 수 있습니다. 이는 nodeIntegrationInWorker를 사용하는 앱에만 영향을 미칩니다.
💡 쉬운 설명
Electron 앱의 보안 제한이 특정 상황에서 작동하지 않아 악의적 코드가 시스템 권한에 접근할 수 있습니다. 영향받는 버전을 38.8.6, 39.8.4, 40.8.4, 41.0.0 이상으로 업그레이드하면 해결됩니다.
🇺🇸 원문 (English)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 38.8.6, 39.8.4, 40.8.4, and 41.0.0, the nodeIntegrationInWorker webPreference was not correctly scoped in all configurations. In certain process-sharing scenarios, workers spawned in frames configured with nodeIntegrationInWorker: false could still receive Node.js integration. Apps are only affected if they enable nodeIntegrationInWorker. Apps that do not use nodeIntegrationInWorker are not affected. This issue has been patched in versions 38.8.6, 39.8.4, 40.8.4, and 41.0.0.
📍 영향받는 시스템
Electron 38.x (38.8.6 미만), 39.x (39.8.4 미만), 40.x (40.8.4 미만), 41.x (41.0.0 미만)
⚔️ 공격 벡터
nodeIntegrationInWorker 활성화 앱에서 워커 스크립트를 통해 제한되어야 하는 Node.js API 무단 접근
🛡️ 대응 방법
Electron을 38.8.6, 39.8.4, 40.8.4, 41.0.0 이상으로 업그레이드 또는 nodeIntegrationInWorker 사용 중지
🔧 검증 코드
표시된 Electron 버전이 38.8.6, 39.8.4, 40.8.4, 41.0.0 이상이면 안전하고 그 이하면 즉시 업그레이드 필요
npm list electron 2>/dev/null | grep -oE 'electron@[0-9]+\.[0-9]+\.[0-9]+' | head -1