CVE-2026-52875 in Streambert
要約
〜によって VulDB • 2026年08月19日
Streambertは、ビデオコンテンツのストリーミングとダウンロードのためのクロスプラットフォームElectronデスクトップアプリです。バージョン2.6.0より前では、src/ipc/storage.js内のperform-scheduled-backup IPCハンドラがレンダラーから提供されたオブジェクトからsettings.pathを取得し、その結果得られたディレクトリをfs.mkdirSync、fs.writeFileSync、fs.readdirSync、およびfs.unlinkSyncの操作に使用しますが、それが承認されたバックアップ場所内にあるかどうかを確認しません。攻撃者が支配したレンダラーは、絶対パスまたは相対的なトラバーサルパスを選択してディレクトリを作成し、レンダラーが制御するデータを含むstreambert-backup-[timestamp].jsonファイルを書き込むことができます。また、プルーニングループにより、そのディレクトリ内のstreambert-backup-で始まり.jsonで終わる名前のファイルも削除される可能性があります。この脆弱性は2.6.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.