CVE-2026-52875 in Streambert
Zusammenfassung
von VulDB • 19.08.2026
Streambert ist eine plattformübergreifende Electron Desktop-Anwendung zum Streamen und Herunterladen von Videoinhalten. Vor Version 2.6.0 nimmt der IPC-Handler `perform-scheduled-backup` im Modul `src/ipc/storage.js` den Wert aus `settings.path` eines vom Renderer bereitgestellten Objekts und verwendet das daraus resultierende Verzeichnis für `fs.mkdirSync`, `fs.writeFileSync`, `fs.readdirSync` und `fs.unlinkSync`-Operationen, ohne zu prüfen, ob es sich innerhalb eines autorisierten Sicherungsspeichers befindet. Ein kompromittierter Renderer kann einen absoluten Pfad oder einen relativen Traversal-Pfad wählen, um Verzeichnisse anzulegen und eine Datei mit dem Namen `streambert-backup-[timestamp].json` zu schreiben, die vom Renderer gesteuerte Daten enthält. Die Aufräum-Schleife (Pruning Loop) kann zudem Dateien in diesem Verzeichnis löschen, deren Namen mit `streambert-backup-` beginnen und auf `.json` enden. Diese Schwachstelle wurde in Version 2.6.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.