NVD / CVE Program· CNA mitre

CVE-2018-1000006: GitHub Electron versions 1.8.2-beta.3 and earlier, 1.7.10 and earlier, 1.6.15 and earlier has a vulnerability in the protocol handler…

ВысокаяCVSS 8.8 · v3.0—Готовый эксплойт Есть исправление

Оценка Noroxi

Приоритет: На этой неделе (оценка срочности 62/100)

Опубликован готовый модуль атаки (Metasploit); для эксплуатации не нужна особая квалификация.
Есть публичный код proof-of-concept (Exploit-DB, GitHub); записей об эксплуатации в реальных атаках нет.
Вероятность эксплуатации в ближайшие 30 дней: 88,8% (FIRST EPSS); выше, чем у 99,7% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Пользователь должен открыть ссылку или посетить страницу. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: electron (npm) 1.6.16, 1.7.11, 1.8.2-beta.4.

Не ждите следующего окна обслуживания. Обновитесь до electron (npm) 1.6.16, 1.7.11, 1.8.2-beta.4 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

GitHub Electron versions 1.8.2-beta.3 and earlier, 1.7.10 and earlier, 1.6.15 and earlier has a vulnerability in the protocol handler, specifically Electron apps running on Windows 10, 7 or 2008 that register custom protocol handlers can be tricked in arbitrary command execution if the user clicks on a specially crafted URL. This has been fixed in versions 1.8.2-beta.4, 1.7.11, and 1.6.16.

GHSA-w222-53c6-c86p

Опубликовано: 24 янв. 2018 г.
Обновлено: 16 июн. 2026 г.
EPSS: 88,8 % · 99-й процентиль
CWE: CWE-78

Инструменты для отчёта

JSON

Оценка срочности

На этой неделе

Не ждите следующего окна обслуживания.

CVSS: 35 / 40 · 8.8 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 27 / 30 · 88,8 %

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть боевой эксплойт
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
atom	electron	cpe:2.3:a:atom:electron
microsoft	windows 10	cpe:2.3:o:microsoft:windows_10
microsoft	windows 7	cpe:2.3:o:microsoft:windows_7
microsoft	windows server 2008	cpe:2.3:o:microsoft:windows_server_2008

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

atom electronдо 1.7.10 включительно
atom electronдо 1.6.15 включительно
atom electron1.8.2

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
npm	electron	с 1.6.0 · до 1.6.16	1.6.16
npm	electron	с 1.7.0 · до 1.7.11	1.7.11
npm	electron	с 1.8.0 · до 1.8.2-beta.4	1.8.2-beta.4

Тот же продукт

atom: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2016-1202Untrusted search path vulnerability in Atom Electron before 0.33.5 allows local users to gain privileges via a Trojan horse Node.js module…
31Наблюдать
CVE-2017-1000424Github Electron version 1.6.4 - 1.6.11 and 1.7.0 - 1.7.5 is vulnerable to a URL Spoofing problem when opening PDFs in PDFium resulting…
17Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
npm:electron	1.6.16	Реестр пакетов (OSV)
npm:electron	1.7.11	Реестр пакетов (OSV)
npm:electron	1.8.2-beta.4	Реестр пакетов (OSV)

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×1
Запись Exploit-DB ×2
Репозиторий PoC на GitHub ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Запись Exploit-DB	remote	2018-01-25
Запись Exploit-DB	remote	2018-03-29
Модуль Metasploit	exploit/windows/browser/exodusExodus Wallet (ElectronJS Framework) remote Code Executionexploit	2018-01-25
Репозиторий PoC на GitHub	stars:39	2018-01-25

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация24 янв. 2018 г.
Первый PoC25 янв. 2018 г.в тот же день
Metasploit25 янв. 2018 г.в тот же день
Сегодня13 нояб. 2026 г.+3214 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

В записи нет: ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Пользователь должен открыть ссылку или посетить страницу.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-78 · Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

Вектор CVSS

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

nvd-primary

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Ошибка в коде

Весь класс CWE-78

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1const host = req.body.host;
2exec("ping -c 1 " + host, onResult);

Исправленный код

1const host = req.body.host;
2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);
3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений (1)

Исправление✗ → ✓28 сент. 2026 г., 22:45 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

www.securityfocus.com/bid/102796

Показать все источники (ещё 3)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: mitre

CVE.org (CNA)5 авг. 2024 г., 12:33 UTC
NVD16 июн. 2026 г., 21:32 UTC
FIRST EPSS11 нояб. 2026 г., 00:00 UTC
OSV / GHSA12 нояб. 2026 г., 03:18 UTC
Exploit-DB12 нояб. 2026 г., 03:18 UTC
Metasploit12 нояб. 2026 г., 03:18 UTC
PoC-in-GitHub12 нояб. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.