CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2024-29900 – @electron/packager's build process memory potentially leaked into final executable
https://notcve.org/view.php?id=CVE-2024-29900
Electron Packager bundles Electron-based application source code with a renamed Electron executable and supporting files into folders ready for distribution. A random segment of ~1-10kb of Node.js heap memory allocated either side of a known buffer will be leaked into the final executable. This memory _could_ contain sensitive information such as environment variables, secrets files, etc. This issue is patched in 18.3.1. Electron Packager incluye el código fuente de la aplicación basada en Electron con un ejecutable de Electron renombrado y archivos de soporte en carpetas listas para su distribución. • https://github.com/electron/packager/commit/d421d4bd3ced889a4143c5c3ab6d95e3be249eee https://github.com/electron/packager/security/advisories/GHSA-34h3-8mw4-qw57 • CWE-402: Transmission of Private Resources into a New Sphere ('Resource Leak') •
CVSS: 5.9EPSS: 0%CPEs: 1EXPL: 0CVE-2016-10534
https://notcve.org/view.php?id=CVE-2016-10534
electron-packager is a command line tool that packages Electron source code into `.app` and `.exe` packages. along with Electron. The `--strict-ssl` command line option in electron-packager >= 5.2.1 <= 6.0.0 || >=6.0.0 <= 6.0.2 defaults to false if not explicitly set to true. This could allow an attacker to perform a man in the middle attack. electron-packager es una herramienta de línea de comandos que empaqueta código fuente Electron en los paquetes ".app" y ".exe" junto con Electron. La opción de línea de comandos "--strict-ssl" en electron-packager desde la versión 5.2.1 hasta la 6.0.0 y desde la versión 6.0.0 hasta la 6.0.2 se establece en false por defecto si no se marca como true explícitamente. Esto podría permitir que un atacante realice ataques Man-in-the-Middle (MitM). • https://github.com/electron-userland/electron-packager/issues/333 https://nodesecurity.io/advisories/104 • CWE-295: Improper Certificate Validation •