CVE-2026-52873 in Streambert
Resumen
por VulDB • 2026-08-19
Streambert es una aplicación de escritorio multiplataforma basada en Electron para transmitir y descargar contenido de video. Desde la versión 2.5.0 hasta la versión 2.6.0, el controlador IPC wyzie-open-redeem en index.js crea la sesión de Electron partition:wyzie-redeem y registra un hook onHeadersReceived que elimina el encabezado Content-Security-Policy (CSP) de cada respuesta en esa sesión. La ventana de canje también carece de una restricción setWindowOpenHandler, por lo que la inyección de scripts en sub.wyzie.io, un recurso de terceros cargado, o en cualquier sitio al que se acceda mediante navegación, se ejecuta sin las restricciones del CSP y puede afectar a ventanas adicionales y al almacenamiento persistente de sesiones. El usuario debe abrir la ventana de canje de claves API de Wyzie, y la explotación requiere contenido de script controlado por el atacante en una página cargada. El script resultante del renderer puede invocar funcionalidades de la aplicación expuestas desde el renderer y puede encadenarse con otras vulnerabilidades para acceder a servicios internos o datos sensibles. Este problema se soluciona en la versión 2.6.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.