- Yama var
- Son 7 gün
- CWE-352
CVE-2026-113796
Electron'da SameSite çerez kısıtlamaları bağlantılardan açılan pencerelere uygulanmıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Electron, JavaScript, HTML ve CSS kullanılarak çapraz platform masaüstü uygulamaları yazmak için bir çerçevedir. 42.11.3, 43.7.0, 44.3.0 ve 45.0.0-alpha.6 sürümlerinden önceki Electron sürümlerinde, bağlantılardan yeni bir pencerede açılan sayfalar, bağlantıyı içeren sayfayı başlatıcı olarak korumak yerine uygulama tarafından başlatılan gezinmeler olarak ele alınıyordu. Bunun sonucunda üst düzey istek aynı site olarak sınıflandırılabiliyor, bu da SameSite=Strict çerezlerinin gönderilmesine ve Sec-Fetch-Site başlığının başlatıcı sayfayı belirtmemesine neden oluyordu. Güvenilmeyen içeriği yükleyen ve bu içeriğin yeni pencere açmasına izin veren bir uygulama, bu içeriğin CSRF korumasını SameSite çerezlerine dayandıran başka bir siteye kimlik bilgileriyle yapılan bir istek göndermesine olanak tanıyabilirdi. Bu sorun 42.11.3, 43.7.0, 44.3.0 ve 45.0.0-alpha.6 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Electron is a framework for writing cross-platform desktop applications using JavaScript, HTML and CSS. Prior to versions 42.11.3, 43.7.0, 44.3.0, and 45.0.0-alpha.6, Electron treated pages opened into a new window from links as application-initiated navigations instead of preserving the page containing the link as the initiator. The resulting top-level request could be classified as same-site, causing SameSite=Strict cookies to be sent and Sec-Fetch-Site not to identify the initiating page. An application that loads untrusted content and permits it to open new windows could therefore allow that content to make a credentialed request to another site that relies on SameSite cookies for CSRF protection. This issue is fixed in versions 42.11.3, 43.7.0, 44.3.0, and 45.0.0-alpha.6.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| electron | < 42.11.3 | 42.11.3 |
Kaynaklar17 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ectron/security/advisories/GHSA-2p8c-gr87-2676 Diğer
- github.com/electron/electron/pull/53683 Diğer
- github.com/electron/electron/pull/53717 Diğer
- github.com/electron/electron/pull/53718 Diğer
- github.com/electron/electron/pull/53719 Diğer
- github.com/electron/electron/pull/53721 Diğer
- github.com/…ommit/079b9b1594ee62c336adc3aa430d4c1cf62bd51e Diğer
- github.com/…ommit/0e6aca0618eeae50a18cfd50548b8688820629ed Diğer
- github.com/…ommit/652ef79ac79c6767b31e59b2f28d0d46114645e5 Diğer
- github.com/…ommit/98940cb274bb6adcb7cdb2da2d4495ac83119670 Diğer
- github.com/…ommit/a86ae4205ba2ba7ae60a6caa9d5d3a44321f2f9b Diğer
- github.com/electron/electron/releases/tag/v42.11.3 Diğer
- github.com/electron/electron/releases/tag/v43.7.0 Diğer
- github.com/electron/electron/releases/tag/v44.3.0 Diğer
- github.com/electron/electron/releases/tag/v45.0.0-alpha.6 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.