🤖 Bump Electron to a release that bundles Node 24.22.1 or newer (CVE-2026-111497)
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 74/100
- Tipo di issue
- Bug
- Chiarezza
- Specificata chiaramente
- Stato di attività
- Attiva
- Stack tecnologico
- bun, electron, node.js, typescript
Direzione di ricerca
Inizia controllando le versioni di Electron collegate nell’issue e conferma quale versione stabile include Node 24.22.1 o una versione successiva. Poi aggiorna la versione di Electron fissata in bun.lock ed esegui i controlli smoke dell’app desktop. Il lavoro è completato quando bun.lock fissa una versione stabile specifica e i controlli smoke hanno esito positivo.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
Problem
The desktop app pins Electron 44.5.1 (bun.lock), which bundles Node 24.21.0. That Node is affected by CVE-2026-111497 ("Node2Shell"), an out-of-bounds write in Node's bundled Brotli decoder that lets crafted Brotli data run code.
The server-side fix (#7359) makes the API server refuse compressed request bodies before auth, which also closes the inbound path in the desktop app. The Electron main process still decodes Content-Encoding: br responses on outbound fetches (undici), for example from MCP servers, provider base URLs, OAuth endpoints and MCP icon URLs. So a malicious or compromised remote server can still reach the decoder.
Fix
Bump electron to the first stable release that bundles Node 24.22.1 or newer, once Electron publishes one.
State on 2026-10-23 (https://releases.electronjs.org/releases.json):
- 44.9.3 and 45.0.0 (2026-10-21) bundle Node 24.22.0, which is still affected.
- Only 46.0.0-alpha.1 (2026-10-23) bundles Node 24.22.1.
- electron/electron#55162 merged Node 24.22.1 into the 44-x-y branch on 2026-10-22, so a 44.x stable release with the fix should follow.
Notes
- The CLI's Node version warning stays quiet under Electron by design, so the Electron version is the only control for the desktop app.
- The Nix package wraps the consumer's nixpkgs
electron_44, so Nix users get the fix through nixpkgs.
Done when bun.lock pins an Electron release whose bundled Node has the fix and the desktop app passes its smoke checks.
- Lingua principale
- TypeScript
- Stelle
- 2.1k
- Fork
- 140
- Merge medio
- 5h 8m
- PR unite (30g)
- 952
Preparare l'ambiente
- Include un Dockerfile o un file Docker Compose
- Nessun modello di pull request
- Nessuna guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di coder/xum
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 83/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
I maintainer di solito rispondono entro 1 giorno
-
🤖 fix: refresh the runtime status chip after a turn, terminal or editor starts a stopped sandboxAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
I maintainer di solito rispondono entro 1 giorno
Issue simili
-
type: bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 79/100
I maintainer di solito rispondono entro 1 giorno
-
0️⃣ phase/new
Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100
-
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 70/100
microsoft/playwright#43640 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 70/100