CVE-2026-52876 in Streambert
Riassunto
di VulDB • 20/08/2026
Streambert è un'app desktop Electron multipiattaforma per lo streaming e il download di contenuti video. Prima della versione 2.6.0, l'handler IPC open-path-at-time in src/ipc/player.js accetta un filePath controllato dal renderer senza validarne il tipo o la posizione. Se i tentativi di avvio con mpv o VLC vengono saltati o falliscono, l'handler passa il filePath a shell.openPath di Electron. Un renderer compromesso può fornire il percorso di un eseguibile locale, script, collegamento o altro file con un handler predefinito eseguibile, causando l'avvio da parte del sistema operativo dello stesso con i privilegi del processo StreamBERT e consentendo la fuga dalla sandbox del renderer. Questo problema è risolto nella versione 2.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.