CVE-2026-52873 in Streambert
الملخص
بحسب VulDB • 19/08/2026
Streambert هو تطبيق سطح مكتب متعدد المنصات مبني على Electron، يسمح ببث وتحميل المحتوى المرئي. من الإصدار 2.5.0 حتى الإصدار 2.6.0، يقوم معالج IPC الخاص بـ `wyzie-open-redeem` الموجود في ملف `index.js` بإنشاء جلسة Electron باسم `partition:wyzie-redeem` وتسجيل مكوّن استدعاء (hook) لحدث `onHeadersReceived` الذي يزيل رأس `Content-Security-Policy` من كل استجابة داخل تلك الجلسة. كما تفتقر نافذة الاسترداد إلى قيد `setWindowOpenHandler`، مما يسمح بحقن السكريبتات في النطاق الفرعي `sub.wyzie.io` (وهو مورد طرف ثالث محمّل)، أو في أي موقع يتم الوصول إليه عبر التنقل، دون قيود سياسة أمان المحتوى (CSP)، ويمكن أن يؤثر على نوافذ إضافية وتخزين الجلسة الدائم. يجب على المستخدم فتح نافذة استرداد مفتاح واجهة برمجة التطبيقات الخاصة بـ Wyzie، وتتطلب عملية الاستغلال وجود محتوى سكريبت خاضع لسيطرة المهاجم في صفحة محمّلة. يمكن للسكريبت الناتج (في الـ renderer) استدعاء وظائف التطبيق المكشوفة عبر الـ renderer، ويمكن تسلسله مع ثغرات أخرى للوصول إلى الخدمات الداخلية أو البيانات الحساسة. تم إصلاح هذه المشكلة في الإصدار 2.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.