CVE-2026-52873 in Streambert
Zusammenfassung
von VulDB • 18.08.2026
Streambert ist eine plattformübergreifende Electron-Desktopanwendung zum Streamen und Herunterladen von Videoinhalten. Von der Version 2.5.0 bis zur Version 2.6.0 erstellt der IPC-Handler `wyzie-open-redeem` in `index.js` die Electron-Sitzung `partition:wyzie-redeem` und registriert einen `onHeadersReceived`-Hook, der den Header `Content-Security-Policy` aus jeder Antwort in dieser Sitzung entfernt. Das Einlösefenster verfügt zudem über keine Einschränkung durch einen `setWindowOpenHandler`, sodass Script-Injection in `sub.wyzie.io` (eine geladene Drittanbieter-Ressource) oder auf einer Site, die über Navigation erreicht wird, ohne CSP-Einschränkungen ausgeführt werden kann und zusätzliche Fenster sowie persistente Sitzungsdaten beeinträchtigen kann. Ein Benutzer muss das Wyzie-API-Schlüssel-Einlösefenster öffnen; für eine Ausnutzung ist angreiferkontrollierter Script-Inhalt auf einer geladenen Seite erforderlich. Das resultierende Renderer-Script kann an den Renderer exponierte Anwendungsfunktionalität aufrufen und mit anderen Schwachstellen kombiniert werden, um auf interne Dienste oder sensible Daten zuzugreifen. Dieses Problem wurde in Version 2.6.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.