Electron: サンドボックス化された最上位ドキュメントから開かれたウィンドウは、そのサンドボックスの制限を引き継ぎません。
### 影響
サンドボックス化された最上位ドキュメントから開かれたウィンドウは、そのドキュメントのHTMLの`sandbox`制限を引き継がず、サンドボックス化されるはずのコンテンツが、アプリケーションのフルオリジンでウィンドウを開くことができました。GHSA-hq2x-r82h-9wj4は、サンドボックス化されたiframeに関する同様の問題を扱っています。
この問題は、ポップアップを許可するサンドボックス化された最上位ドキュメントで、信頼できないコンテンツをレンダリングしている場合にのみ影響を受けます。`setWindowOpenHandler`を使用して、信頼できないコンテンツからのポップアップを拒否しているアプリケーションは影響を受けません。
### 対策
信頼できないコンテンツによって開かれるウィンドウに対して、`setWindowOpenHandler`から`{ action: 'deny' }`を返してください。
### 修正されたバージョン
* `44.0.0-beta.5`
* `43.4.1`
* `42.9.2`
* `41.10.6`
### 詳細情報
このセキュリティアドバイザリーに関するご質問やご意見がありましたら、[security@electronjs.org](mailto:security@electronjs.org)までご連絡ください。
影響を受けるパッケージ：
- npm (JavaScript) electron: 影響を受けるバージョンは41.10.6未満、修正されたバージョンは41.10.6
- npm (JavaScript) electron: 影響を受けるバージョンは42.0.0-alpha.1以上、42.9.2未満、修正されたバージョンは42.9.2
- npm (JavaScript) electron: 影響を受けるバージョンは43.0.0-alpha.1以上、43.4.1未満、修正されたバージョンは43.4.1
- npm (JavaScript) electron: 影響を受けるバージョンは44.0.0-alpha.1以上、44.0.0-beta.5未満、修正されたバージョンは44.0.0-beta.5