CVE-2026-52872 in Streambert
요약
\~에 의해 VulDB • 2026. 08. 18.
Streambert는 비디오 콘텐츠를 스트리밍하고 다운로드하기 위한 크로스 플랫폼 Electron 데스크톱 앱입니다. 버전 2.5.0 이전에서는 src/ipc/downloads.js의 downloadSubtitleFile 유틸리티가 run-download IPC 채널을 통해 접근 가능하며, 렌더러에서 제공한 subtitle url를 file: URI scheme로 받아들이고 그 디코딩된 pathname을 fs.copyFileSync에 전달합니다. 또한 렌더러는 destination path를 결정하는 downloadPath도 제어할 수 있습니다. 따라서 손상된 렌더러는 StreamBERT 프로세스가 읽을 수 있는 모든 파일을 공격자가 선택한 쓰기 가능한 위치로 복사하여 민감한 로컬 데이터를 노출시킬 수 있으며, 기존 파일 중 쓰기가 가능한 파일을 덮어쓸 수도 있습니다. 이 취약점은 2.5.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.