CVE-2026-52877
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność w aplikacji Streambert (przed wersją 2.6.0) w handlerze IPC open-external, który przekazuje adres URL od renderera do shell.openExternal bez walidacji protokołu. Złamany renderer może otworzyć lokalne pliki lub uruchomić aplikacje.
Ocena ryzyka
Atakujący może wykorzystać podatność do uruchomienia złośliwego oprogramowania lub uzyskania dostępu do lokalnych plików, co zagraża bezpieczeństwu systemu.
Rekomendacja
Zaktualizuj Streambert do wersji 2.6.0 lub nowszej. Dodatkowo ogranicz uprawnienia renderera.
Oryginalny opis (angielski, źródło NVD)
Streambert is a cross-platform Electron Desktop App to stream and download video content. Prior to version 2.6.0, the open-external IPC handler in src/ipc/downloads.js passes a renderer-supplied url directly to Electron's shell.openExternal without validating its protocol. A compromised renderer can submit file: URIs or operating-system-specific custom schemes, causing the host to open local files, access remote resources through registered handlers, or launch scripts and applications supported by those handlers. This issue is fixed in version 2.6.0.