Electron: ファイルおよびHTTPプロトコルハンドラにより、`corsEnabled`が設定されていない場合でも、クロスオリジンでの読み込みが可能になる。
### 影響
`protocol.registerFileProtocol`または`protocol.registerHttpProtocol`を使用して、`supportFetchAPI: true`が設定されたカスタムスキーマを提供する場合、`corsEnabled: true`が設定されていないと、Webコンテンツによってクロスオリジンで読み込まれる可能性がある。これは、CVE-2026-70604の修正を完了するものである。
この問題は、そのようなスキーマを登録し、そのハンドラを通じて提供し、さらに信頼できないコンテンツを読み込むアプリケーションにのみ影響する。`corsEnabled: true`を設定している場合、または信頼できないコンテンツを読み込まない場合は、影響を受けない。
### 対策
スキーマに対して`corsEnabled: true`を設定するか、または、そのスキーマにアクセスできるウィンドウで信頼できないコンテンツを読み込まないようにする。
### 修正されたバージョン
* `44.0.0-beta.5`
* `43.4.1`
* `42.9.2`
* `41.10.6`
### 詳細情報
このセキュリティアドバイザリーに関するご質問やご意見がありましたら、[security@electronjs.org](mailto:security@electronjs.org)までご連絡ください。
影響を受けるパッケージ：
- npm (JavaScript) electron: 41.10.6より前のバージョンが影響を受け、41.10.6で修正された。
- npm (JavaScript) electron: 42.0.0-alpha.1以上、42.9.2より前のバージョンが影響を受け、42.9.2で修正された。
- npm (JavaScript) electron: 43.0.0-alpha.1以上、43.4.1より前のバージョンが影響を受け、43.4.1で修正された。
- npm (JavaScript) electron: 44.0.0-alpha.1以上、44.0.0-beta.5より前のバージョンが影響を受け、44.0.0-beta.5で修正された。