L'esecuzione JavaScript a runtime è codice che viene eseguito all'interno di un'applicazione mentre l'app è già in esecuzione, invece di essere definito solo in fase di build. Nelle app Electron, questo può includere script di preload, logica del renderer o moduli caricati dinamicamente che modificano il comportamento dopo l'installazione.
Questo è importante nella sicurezza informatica perché il codice a runtime può essere modificato, iniettato o abusato senza cambiare la shell visibile dell'app. Un'utilità può ancora convertire file o aprire documenti normalmente mentre JavaScript nascosto esegue azioni aggiuntive in background, come raggiungere API sensibili, gestire dati rubati o abilitare la cattura dello schermo. I difensori cercano questo rischio esaminando gli script di preload, imponendo l'isolamento del contesto, convalidando i messaggi IPC e limitando l'accesso alle funzionalità privilegiate. La lezione chiave è che un'interfaccia funzionante non garantisce percorsi di codice sicuri al di sotto di essa.