Electron 修复链接开窗绕过 SameSite Cookie 限制

Electron 发布安全公告并修复一个漏洞：从链接打开的新窗口被当作应用自身发起的导航加载，而非由包含该链接的页面发起，导致 SameSite=Strict Cookie 被发送、Sec-Fetch-Site 无法标识发起页面。依赖 SameSite Cookie 防御 CSRF 的站点可能因此被带上凭据发起顶层请求。 Electron 称，只有加载不受信任内容并允许其打开新窗口的应用受影响；用 setWindowOpenHandler 拒绝不受信任内容打开新窗口的应用不受影响，建议对这类窗口返回 { action: 'deny' }。修复版本为 45.0.0-alpha.6。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。