CVE-2026-52872 in Streambert
Résumé
par VulDB • 18/08/2026
Streambert est une application de bureau Electron multiplateforme permettant de diffuser et de télécharger du contenu vidéo. Avant la version 2.5.0, l'utilitaire `downloadSubtitleFile` situé dans `src/ipc/downloads.js`, accessible via le canal IPC `run-download`, accepte une URL de sous-titres fournie par le renderer en utilisant le schéma d'URI `file:` et transmet son chemin décodé à `fs.copyFileSync`. Le renderer contrôle également `downloadPath`, qui détermine le chemin de destination. Un renderer compromis peut donc copier n'importe quel fichier lisible par le processus StreamBERT vers un emplacement accessible en écriture choisi par l'attaquant, exposant ainsi des données locales sensibles, et peut écraser des fichiers existants accessibles en écriture. Cette vulnérabilité est corrigée dans la version 2.5.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.