Electronにおいて、OpenURLFromTabを通じて開かれるポップアップウィンドウに対する、継承されたHTMLサンドボックスの制限が解除されました。
### 影響
サンドボックス化されたiframeからリンク（例えば`target="_blank"`や、中央ボタンクリック）を通じて開かれるポップアップウィンドウは、iframeのHTMLの`sandbox`制限を継承しませんでした。サンドボックス内で実行されるはずのコンテンツが、埋め込みアプリケーションの完全なオリジンでポップアップを開き、そのオリジンのCookie、ストレージ、および同一オリジンスクリプトにアクセスできるようになる可能性がありました。
この問題は、信頼できないコンテンツを`allow-scripts allow-popups`でサンドボックス化されたiframeに埋め込んでいる場合にのみ影響を受けます。信頼できないコンテンツをサンドボックス化されたiframeに埋め込んでいないアプリケーションは影響を受けません。
### 対策
親の`WebContents`に対して`setWindowOpenHandler`を使用し、サンドボックス化されたフレームから開かれるポップアップを拒否または制限するか、信頼できないコンテンツをレンダリングするサンドボックス化されたiframeに`allow-popups`を適用しないようにしてください。
### 修正されたバージョン
* `43.0.0`
* `42.5.2`
* `41.10.4`
### 詳細情報
このセキュリティアドバイザリーに関するご質問やご意見がありましたら、[security@electronjs.org](mailto:security@electronjs.org)までメールでお問い合わせください。
影響を受けるパッケージ：
- npm (JavaScript) electron: 影響を受けるバージョンは41.10.4より前、修正されたバージョンは41.10.4
- npm (JavaScript) electron: 影響を受けるバージョンは42.0.0-alpha.1以上、42.5.2未満、修正されたバージョンは42.5.2
- npm (JavaScript) electron: 影響を受けるバージョンは43.0.0-alpha.1以上、43.0.0未満、修正されたバージョンは43.0.0