CVE-2026-52873 in Streambert
Riassunto
di VulDB • 19/08/2026
Streambert è un'applicazione desktop Electron multipiattaforma per lo streaming e il download di contenuti video. Dalla versione 2.5.0 alla versione 2.6.0, l'handler IPC wyzie-open-redeem in index.js crea la sessione Electron partition:wyzie-redeem e registra un hook onHeadersReceived che rimuove l'intestazione Content-Security-Policy da ogni risposta all'interno di tale sessione. La finestra di redeem manca inoltre del vincolo setWindowOpenHandler, quindi l'iniezione di script in sub.wyzie.io (una risorsa third-party caricata) o in un sito raggiunto tramite navigazione viene eseguita senza i vincoli CSP e può influenzare finestre aggiuntive e lo storage persistente della sessione. L'utente deve aprire la finestra di redemption delle chiavi API Wyzie, e l'esecuzione dell'exploit richiede che il contenuto dello script sia controllato dall'attaccante in una pagina caricata. Lo script del renderer risultante può invocare funzionalità dell'applicazione esposte dal renderer e può essere concatenato con altre vulnerabilità per accedere a servizi interni o dati sensibili. Questo problema è risolto nella versione 2.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.