What is CVE-2026-70606?
This vulnerability in Electron framework occurs when a custom protocol handler returns a `ProtocolResponse` with a `url` but no `session`, causing upstream requests to be made via the `defaultSession` instead of the intended session. This can lead to unintended security behavior, and users should upgrade to the patched versions.
Azərbaycanca: Electron çərçivəsində aşkar edilmiş bu boşluq, xüsusi protokol işləyicisi (custom protocol handler) "url" qaytardıqda, lakin "session" təyin edilmədikdə, sorğuların nəzərdə tutulan sessiya əvəzinə "defaultSession" vasitəsilə icra olunmasına səbəb olur. Bu, təhlükəsizlik baxımından gözlənilməz davranışlara yol aça bilər; istifadəçilər müəyyən edilən versiyalara yeniləmə etməlidir.
FAQ1
Under what condition does CVE-2026-70606 occur in Electron?
When a custom protocol handler returns a `ProtocolResponse` with a `url` but no `session`, causing upstream requests to be made via the `defaultSession` instead of the intended session.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.