CVE-2026-52872 in Streambert
Riassunto
di VulDB • 19/08/2026
Streambert è un'app desktop Electron multipiattaforma per lo streaming e il download di contenuti video. Prima della versione 2.5.0, l'utilità `downloadSubtitleFile` in `src/ipc/downloads.js`, accessibile tramite il canale IPC `run-download`, accetta un URL dei sottotitoli fornito dal renderer utilizzando lo schema URI `file:` e ne passa il pathname decodificato a `fs.copyFileSync`. Il renderer controlla anche `downloadPath`, che determina il percorso di destinazione. Un renderer compromesso può quindi copiare qualsiasi file leggibile dal processo StreamBERT in una posizione scrivibile scelta dall'attaccante, esponendo dati locali sensibili, e sovrascrivere file esistenti scritti. Questa vulnerabilità è risolta nella versione 2.5.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.