Исследователь Мохан Педхапати раскрыл уязвимость в Electron-приложениях, использующих устаревший движок Chrome 138, как это делает клиент Discord.
Фреймворк Electron на девять версий отстает от актуального браузера из-за медленных обновлений зависимостей и пассивных пользователей. Эксперт утверждает, что взлом такого ПО — лишь вопрос времени. Прозрачность открытого кода превращает каждый патч в подсказку для эксплойта: исправления часто видны раньше релиза. Для защиты следует оперативно обновлять зависимости и автоматизировать выпуск безопасности.
«Каждый патч — это подсказка для атаки».
Разработка эксплойта заняла неделю, потребовало 20 часов ручной работы, 2,3 млрд токенов и $2283 за API-доступ к модели Anthropic Claude Opus 4.6. Педхапати признает высокую стоимость атаки для одиночки, но без ИИ процесс растянулся бы на недели. Легальное вознаграждение от Google и Discord составляет около $15 000, тогда как злоумышленники готовы платить значительно больше за уязвимость нулевого дня.
Специалист создал цепочку атак для взлома JavaScript V8 в Chrome 138, на котором работает актуальная версия Discord.