CVE-2026-52873 in Streambert
摘要
由 VulDB • 2026-08-18
Streambert是一款跨平台的Electron桌面应用，用于流媒体播放和下载视频内容。从版本2.5.0到版本2.6.0，index.js中的wyzie-open-redeem IPC处理程序会创建partition:wyzie-redeem Electron会话，并注册一个onHeadersReceived钩子，以移除该会话中每个响应里的Content-Security-Policy（CSP）头。redeem窗口还缺少setWindowOpenHandler限制，因此对sub.wyzie.io（已加载的第三方资源）或通过导航到达的网站进行的脚本注入可在无CSP约束的情况下执行，并可能影响其他窗口和持久化会话存储。用户必须打开Wyzie API密钥兑换窗口，且利用条件要求攻击者控制的脚本内容存在于已加载页面中。由此产生的渲染器脚本可以调用暴露给渲染器的应用程序功能，并可与其他漏洞结合使用以访问内部服务或敏感数据。此问题已在版本2.6.0中得到修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.