Electron drops inherited HTML sandbox restrictions for popups opened through OpenURLFromTab — GHSA-HQ2X-R82H-9WJ4

GitHub · GitHub · GHSA-HQ2X-R82H-9WJ4

ID
GHSA-HQ2X-R82H-9WJ4

Datum
2026-09-29

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.2

Zusammenfassung

### Impact Popups opened from a sandboxed iframe through a link (for example `target="_blank"` or a middle-click) did not inherit the iframe's HTML `sandbox` restrictions. Content that was meant to run sandboxed could open a popup with the embedding app's full origin, gaining access to that origin's cookies, storage, and same-origin scripting. Apps are only affected if they embed untrusted content in iframes…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-29

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.2 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: npm: electron.

Produkt

npm: electron

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-HQ2X-R82H-9WJ4
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-29
Letzte Quellenaktivität: 2026-09-29
Weitere Kennungen: CVE-2026-102673
Kuratiert von: hlukh.ch