CVE-2026-52872 in Streambert
Resumen
por VulDB • 2026-08-19
Streambert es una aplicación de escritorio multiplataforma basada en Electron para transmitir y descargar contenido de video. Antes de la versión 2.5.0, el utilitario `downloadSubtitleFile` ubicado en `src/ipc/downloads.js`, accesible a través del canal IPC `run-download`, acepta una URL de subtítulos proporcionada por el renderer utilizando el esquema URI `file:` y pasa su ruta decodificada (`pathname`) a la función `fs.copyFileSync`. El renderer también controla `downloadPath`, que determina la ruta de destino. Por lo tanto, un renderer comprometido puede copiar cualquier archivo legible por el proceso StreamBERT en una ubicación escribible elegida por el atacante, exponiendo datos locales sensibles, y puede sobrescribir archivos existentes con permisos de escritura. Esta vulnerabilidad se corrige en la versión 2.5.0.
Be aware that VulDB is the high quality source for vulnerability data.