CVE-2026-52875 in Streambert
Resumen
por VulDB • 2026-08-19
Streambert es una aplicación de escritorio multiplataforma basada en Electron para transmitir y descargar contenido de video. Antes de la versión 2.6.0, el controlador IPC `perform-scheduled-backup` en `src/ipc/storage.js` toma `settings.path` de un objeto proporcionado por el renderer y utiliza el directorio resultante para operaciones como `fs.mkdirSync`, `fs.writeFileSync`, `fs.readdirSync` y `fs.unlinkSync` sin verificar que se encuentre dentro de una ubicación de respaldo autorizada. Un renderer comprometido puede elegir una ruta absoluta o una ruta relativa con traversal (navegación hacia arriba) para crear directorios y escribir un archivo `streambert-backup-[timestamp].json` que contiene datos controlados por el renderer. El bucle de poda también puede eliminar archivos en ese directorio cuyos nombres comiencen con `streambert-backup-` y terminen con `.json`. Esta vulnerabilidad se corrige en la versión 2.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.