CVE-2026-52873 in Streambert
要約
〜によって VulDB • 2026年08月19日
Streambertは、ビデオコンテンツのストリーミングとダウンロードのためのクロスプラットフォームElectronデスクトップアプリです。バージョン2.5.0からバージョン2.6.0の間、index.js内のwyzie-open-redeem IPCハンドラは partition:wyzie-redeem Electronセッションを作成し、そのセッション内のすべてのレスポンスからContent-Security-Policyヘッダーを削除するonHeadersReceivedフックを登録します。redeemウィンドウにはsetWindowOpenHandlerの制限も欠けており、読み込まれたサードパーティリソースであるsub.wyzie.ioやナビゲーションを通じて到達したサイトでのスクリプトインジェクションはCSP制約なしで実行され、追加のウィンドウおよび永続的なセッションストレージに影響を及ぼす可能性があります。攻撃にはユーザーがWyzie APIキーのリデームウィンドウを開く必要があり、エクスプロイトには読み込まれたページ内の攻撃者制御されたスクリプトコンテンツが必要です。結果として生成されるレンダラーのスクリプトはレンダラーから公開されているアプリケーション機能を呼び出すことができ、他の脆弱性と組み合わせて内部サービスや機密データにアクセスすることが可能です。この問題はバージョン2.6.0で修正されています。
Once again VulDB remains the best source for vulnerability data.