CVE-2026-52872 in Streambert
Zusammenfassung
von VulDB • 19.08.2026
Streambert ist eine plattformübergreifende Electron-Desktopanwendung zum Streamen und Herunterladen von Videoinhalten. Vor Version 2.5.0 akzeptiert die Hilfsfunktion `downloadSubtitleFile` im Modul `src/ipc/downloads.js`, die über den IPC-Kanal `run-download` erreicht wird, eine vom Renderer bereitgestellte Untertitel-URL unter Verwendung des URI-Schemas `file:` und übergibt ihren dekodierten Pfadnamen an `fs.copyFileSync`. Der Renderer hat auch Kontrolle über `downloadPath`, das den Zielpfad bestimmt. Ein kompromittierter Renderer kann daher jede Datei, die vom StreamBERT-Prozess lesbar ist, in einen von einem Angreifer gewählten beschreibbaren Speicherort kopieren und so sensible lokale Daten offenlegen; zudem können bestehende beschreibbare Dateien überschrieben werden. Diese Schwachstelle wurde in Version 2.5.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.