🤖 Bump Electron to a release that bundles Node 24.22.1 or newer (CVE-2026-111497)

クローズ 初心者向け
  • 何か問題がありますか？
#7,358 コメント 4 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

関連するプルリクエストがすでにマージされています。

  • #7684 @ibetitsmike による — マージ済み

評価

難易度
2/5
見積もり時間
1〜3時間
初心者へのやさしさ
74/100
issue の種類
バグ
明瞭さ
明確に書かれている
活発さ
活発
技術スタック
bun, electron, node.js, typescript
領域
desktop, security

調査の方向性

まず、issueにリンクされているElectronのリリースを確認し、Node 24.22.1以降をバンドルしている安定版を特定します。次に、bun.lockのElectronの固定バージョンを更新し、デスクトップアプリのスモークチェックを実行します。bun.lockで特定の安定版が固定され、スモークチェックが成功すれば完了です。

索引モデルが issue の本文から書いたものです。

説明

Problem

The desktop app pins Electron 44.5.1 (bun.lock), which bundles Node 24.21.0. That Node is affected by CVE-2026-111497 ("Node2Shell"), an out-of-bounds write in Node's bundled Brotli decoder that lets crafted Brotli data run code.

The server-side fix (#7359) makes the API server refuse compressed request bodies before auth, which also closes the inbound path in the desktop app. The Electron main process still decodes Content-Encoding: br responses on outbound fetches (undici), for example from MCP servers, provider base URLs, OAuth endpoints and MCP icon URLs. So a malicious or compromised remote server can still reach the decoder.

Fix

Bump electron to the first stable release that bundles Node 24.22.1 or newer, once Electron publishes one.

State on 2026-10-23 (https://releases.electronjs.org/releases.json):

  • 44.9.3 and 45.0.0 (2026-10-21) bundle Node 24.22.0, which is still affected.
  • Only 46.0.0-alpha.1 (2026-10-23) bundles Node 24.22.1.
  • electron/electron#55162 merged Node 24.22.1 into the 44-x-y branch on 2026-10-22, so a 44.x stable release with the fix should follow.

Notes

  • The CLI's Node version warning stays quiet under Electron by design, so the Electron version is the only control for the desktop app.
  • The Nix package wraps the consumer's nixpkgs electron_44, so Nix users get the fix through nixpkgs.

Done when bun.lock pins an Electron release whose bundled Node has the fix and the desktop app passes its smoke checks.

主要言語
TypeScript
スター
2.1k
フォーク
139
平均マージ
3時間 34分
マージ済み PR（30日）
951

環境構築

  • Dockerfile または Docker Compose ファイルあり
  • プルリクエストのテンプレートなし
  • コントリビューションガイドなし

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

coder/xum のほかの issue

coder/xum の issue をすべて見る

似ている issue

TypeScript の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。