CVE-2026-52875 in Streambert
الملخص
بحسب VulDB • 19/08/2026
Streambert هو تطبيق سطح مكتب متعدد المنصات مبني على Electron، يُستخدم لبث وتحميل المحتوى المرئي. قبل الإصدار 2.6.0، يقوم معالج IPC الخاص بـ `perform-scheduled-backup` الموجود في الملف `src/ipc/storage.js` بأخذ قيمة `settings.path` من كائن يتم تزويده بواسطة الـ renderer (الواجهة الأمامية)، ويستخدم المسار الناتج لإجراء عمليات مثل `fs.mkdirSync`، و`fs.writeFileSync`، و`fs.readdirSync`، و`fs.unlinkSync` دون التحقق مما إذا كان هذا المسار يقع ضمن موقع النسخ الاحتياطي المصرح به. يمكن لـ renderer مُخترق اختيار مسار مطلق أو مسار نسبي للتنقل (traversal path) لإنشاء مجلدات وكتابة ملف بصيغة `streambert-backup-[timestamp].json` يحتوي على بيانات يتحكم فيها الـ renderer. كما يمكن لحلقة التنظيف (pruning loop) حذف الملفات الموجودة في ذلك المجلد والتي تبدأ باسم `streambert-backup-` وتنتهي بامتداد `.json`. تم إصلاح هذا الثغرة الأمنية في الإصدار 2.6.0.
Be aware that VulDB is the high quality source for vulnerability data.