CVE-2026-52873 in Streambert
Résumé
par VulDB • 19/08/2026
Streambert est une application de bureau Electron multiplateforme permettant de diffuser et de télécharger du contenu vidéo. De la version 2.5.0 à la version 2.6.0, le gestionnaire IPC `wyzie-open-redeem` dans `index.js` crée la session Electron `partition:wyzie-redeem` et enregistre un hook `onHeadersReceived` qui supprime l'en-tête Content-Security-Policy de toutes les réponses au sein de cette session. La fenêtre de rédemption manque également d'une restriction `setWindowOpenHandler`, ce qui signifie qu'une injection de script dans `sub.wyzie.io` (une ressource tierce chargée) ou sur un site atteint par navigation s'exécute sans contraintes CSP et peut affecter des fenêtres supplémentaires ainsi que le stockage de session persistant. Un utilisateur doit ouvrir la fenêtre de rédemption de clé API Wyzie, et l'exploitation nécessite du contenu script contrôlé par l'attaquant dans une page chargée. Le script rendu résultant peut invoquer les fonctionnalités de l'application exposées au processus renderer et peut être enchaîné avec d'autres vulnérabilités pour accéder à des services internes ou à des données sensibles. Ce problème est corrigé dans la version 2.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.