关于Electron内置EJS的CVE-2022-29078漏洞责任归属的技术问询

Electron本身并未直接使用EJS，因此不会自身暴露于CVE-2022-29078高危漏洞中。只有当运行在Electron上的第三方应用主动引入并使用EJS时，该应用才需要承担对应漏洞的全部责任。

关键细节说明： #

• Electron核心代码不依赖EJS：EJS并非Electron的内置核心组件，Electron的底层运行逻辑（包括Chromium和Node.js集成部分）完全不涉及EJS模板引擎的调用，仅可能在某些非核心的第三方依赖中存在，但这部分不会影响Electron自身的安全性。
• 漏洞责任边界清晰：CVE-2022-29078的风险触发前提是应用代码主动集成并使用了存在问题的EJS版本，Electron作为运行框架，不对上层应用引入的第三方组件漏洞负责。
• 定制Electron并非必要方案：移除EJS的定制版Electron会带来极高的长期维护成本，后续Electron版本更新时需要重复适配，完全没有必要。申请漏洞豁免时，可明确说明“Electron自身未使用EJS，漏洞仅来自应用自主引入的组件”这一核心事实，以此作为豁免依据。

内容的提问来源于stack exchange，提问作者Wawan