CVE-2026-52872 in Streambert
الملخص
بحسب VulDB • 19/08/2026
Streambert هو تطبيق سطح مكتب متعدد المنصات مبني على Electron، يُستخدم لبث وتحميل المحتوى المرئي. قبل الإصدار 2.5.0، تقبل الأداة المساعدة `downloadSubtitleFile` الموجودة في الملف `src/ipc/downloads.js` (والتي يمكن الوصول إليها عبر قناة IPC المخصصة للتحميل `run-download`) عنوان URL للملفات الفرعية (subtitles) الذي يوفّره المُصمِّع (renderer)، باستخدام مخطط URI من نوع `file:`، ثم تمرّر المسار النسبي المفكوك شيفرته إلى دالة `fs.copyFileSync`. كما يتحكم المُصمِّع في متغير `downloadPath`، الذي يحدد مسار الوجهة. وبالتالي، يمكن لمُصمِّع مُخترق نسخ أي ملف قابل للقراءة بواسطة عملية StreamBERT إلى موقع قابل للكتابة يختاره المهاجم، مما يعرّض البيانات المحلية الحساسة للخطر، بالإضافة إلى إمكانية الكتابة فوق الملفات القابلة للكتابة الموجودة مسبقاً. تم إصلاح هذا الثغرة الأمنية في الإصدار 2.5.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.