4 ноября 2026 года вышел Electron 45.2.3 с пакетом из 120 исправлений, перенесённых из Chromium и семи других компонентов. Изменения затрагивают очистку данных сайтов, запись в служебные каталоги, обработку графики, видео и PDF — механизмы, которые используют настольные приложения на Electron.
Межсайтовым запросам ограничили возможность очищать данные сайтов
В Chromium исправили обработку заголовка Clear-Site-Data: запрос к стороннему сайту больше не должен приводить к очистке данных, которые хранятся без разделения по сайтам. Этот заголовок позволяет серверу попросить браузерную среду удалить определённые данные, например кэш или сведения о хранении для сайта. Для приложения, которое открывает веб-страницы или загружает сторонние ресурсы, принципиально, какой именно запрос имеет право запускать такую операцию.
В списке перенесённых патчей изменение обозначено как Prevent cross-site fetch clearing unpartitioned data. Оно уточняет границу между данными отдельных сайтов и общим, неразделённым хранилищем. Команде Electron пришлось адаптировать и собственные обработчики сетевых запросов под изменённый интерфейс Clear-Site-Data: правки внесены в файлы url_loader_network_observer и electron_api_url_loader.
Ещё одно ограничение касается встроенного просмотра PDF: Chromium теперь блокирует создание WebSocketConnector в процессе отображения PDF. В той же подборке есть исправление, предотвращающее доступ сценариев к внутренним фреймам расширения PDF. Оба изменения относятся к изоляции возможностей компонента, который обрабатывает документы.
Доступ к служебным каталогам через веб-API стал строже
Часть патчей защищает файловую систему при использовании File System Access API — браузерного механизма, через который веб-страница может работать с выбранными файлами и каталогами. Chromium расширил список чувствительных путей, куда нельзя предоставлять запись через этот API.
В него включены каталог .mvn, используемый инструментами сборки Maven, путь ~/.cache и отдельные служебные пути Windows, связанные с общими каталогами виртуальных машин. Такие ограничения уменьшают риск изменения служебных файлов через веб-интерфейс. Они относятся именно к проверкам Chromium для File System Access API и не описывают все способы работы приложения Electron с диском через Node.js.
Для настольной программы с веб-редактором файлов это различие существенно: выбор каталога через браузерный API проходит проверки разрешённых путей, а собственные файловые операции приложения определяются его кодом и настройками безопасности.
Графические движки исправили обработку памяти и видеобуферов
В Electron 45.2.3 вошли исправления для ANGLE, Dawn и Skia. Эти библиотеки участвуют в работе с видеокартой, отображении интерфейса и графических эффектах. Например, один из патчей Chromium обнуляет память внеэкранного кадрового буфера при изменении его размера. Другие изменения проверяют корректность операций копирования текстур, состояние графического контекста и время жизни объектов GPU.
У Dawn исправили ошибку обращения к уже освобождённой памяти при обходных операциях копирования пустых буферов и текстур. В Skia закрыли потенциальную запись за пределами выделенной памяти при построении областей из конических кривых. Это низкоуровневые ошибки: они могут затрагивать безопасность и устойчивость графической подсистемы, хотя примечания к выпуску не описывают конкретные пользовательские сбои для каждого патча.
Обработка мультимедиа получила отдельные изменения. В FFmpeg поправили состояние декодирования H.264 и работу с данными контейнера MOV, а в PDFium — переходы фокуса между полями PDF-форм и обработку повреждённых JPEG-данных. Для приложений с видеоплеером, просмотром документов или сложным веб-интерфейсом это изменения в используемых внутренних библиотеках; измеримых результатов ускорения для Electron 45.2.3 разработчики не публиковали.
Почему 120 исправлений появились без смены версий Chromium и Node.js
Предыдущий Electron 45.2.2 от 3 ноября исправлял два конкретных сценария: аварийное завершение приложения при использовании скрытого родительского окна в Wayland и неудаляемые CSS-правила с cssOrigin: 'user'. Тогда же обновили Chromium до 156.0.8078.80, а Node.js — до 24.22.2.
В Electron 45.2.3 номера этих компонентов остались прежними: Chromium 156.0.8078.80 и Node.js 24.22.2. Разница заключается в наборе перенесённых исправлений. Команда включила патчи из восьми исходных проектов — ANGLE, Chromium, Dawn, FFmpeg, minigbm, PDFium, Skia и V8 — в поддерживаемую ветку Electron, сохранив её базовые версии движков.
Поэтому одинаковый номер Chromium в двух соседних выпусках Electron ещё не гарантирует одинаковый состав исправлений. В данном случае список перенесённых изменений раскрыт в запросе на включение кода № 55592, где можно увидеть названия отдельных патчей и затронутые компоненты.
Что известно о безопасности Electron 45.2.3
Пакет из 120 изменений оформлен через механизм переноса исправлений безопасности из вышестоящих проектов. Среди них есть проверки доступа к памяти, ограничение операций с файлами и дополнительная изоляция веб-компонентов. При этом 120 исправлений нельзя приравнивать к 120 отдельным уязвимостям: официальный релиз не содержит такого утверждения и не публикует для этой версии отдельный перечень CVE.
Electron 45.2.3 отличается от предыдущей сборки прежде всего внутренними защитными проверками в Chromium и связанных библиотеках. Какие из этих изменений непосредственно повлияют на конкретную настольную программу, зависит от того, использует ли она соответствующие графические, файловые и сетевые механизмы.
