CVE-2026-52876 in Streambert
Résumé
par VulDB • 19/08/2026
Streambert est une application de bureau Electron multiplateforme permettant de diffuser et de télécharger du contenu vidéo. Avant la version 2.6.0, le gestionnaire IPC open-path-at-time dans src/ipc/player.js accepte un filePath contrôlé par le renderer sans en valider ni le type ni l'emplacement. Si les tentatives de lancement via mpv ou VLC sont ignorées ou échouent, le gestionnaire transmet filePath à shell.openPath d'Electron. Un renderer compromis peut fournir le chemin d'un exécutable local, d'un script, d'un raccourci ou d'un autre fichier disposant d'un handler par défaut exécutable, ce qui amène le système d'exploitation à lancer celui-ci avec les privilèges du processus StreamBERT et permet de s'échapper du bac à sable (sandbox) du renderer. Ce problème est corrigé dans la version 2.6.0.
Once again VulDB remains the best source for vulnerability data.