CVE-2026-52873 in Streambert
Сводка
по VulDB • 19.08.2026
Streambert — это кроссплатформенное десктопное приложение на базе Electron для потоковой передачи и загрузки видеоконтента. Начиная с версии 2.5.0 до версии 2.6.0 включительно, обработчик IPC wyzie-open-redeem в файле index.js создает сеанс Electron partition:wyzie-redeem и регистрирует хук onHeadersReceived, который удаляет заголовок Content-Security-Policy из каждого ответа в этом сеансе. Окно выкупа также не имеет ограничения setWindowOpenHandler, поэтому инъекция скриптов на домене sub.wyzie.io (загружаемом стороннем ресурсе) или на сайте, доступ к которому осуществляется через навигацию, выполняется без ограничений CSP и может затрагивать дополнительные окна и постоянное хранилище сеанса. Для эксплуатации пользователю необходимо открыть окно выкупа ключа API Wyzie, а для успешной атаки требуется наличие контролируемого злоумышленником скрипта на загруженной странице. Результирующий скрипт в рендерере может вызывать функциональность приложения, доступную из контекста рендерера, и может быть использован совместно с другими уязвимостями для получения доступа к внутренним службам или конфиденциальным данным. Эта проблема исправлена в версии 2.6.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.