CVE-2026-52872
Təsvir
Streambert video məzmununu axınlaşdırmaq və yükləmək üçün nəzərdə tutulmuş çarpayıl platformalı Electron masaüstü tətbiqidir. 2.5.0 versiyasından əvvəl, run-download IPC kanalı vasitəsilə daxil olunan src/ipc/downloads.js faylındakı downloadSubtitleFile utiliti, rendererdən gələn və file: URI sxemindən istifadə edən altyazı url-ni qəbul edir və onun dekodlaşdırılmış yolunu (pathname) fs.copyFileSync funksiyasına ötürür. Həmçinin renderer, təyinat yolunu müəyyən edən downloadPath parametrini də idarə edir. Buna görə də, kompromisə uğramış renderer, StreamBERT prosesi tərəfindən oxuna bilən hər hansı bir faylı hücum edənin seçdiyi yazıla bilən yerə kopyalayaraq həssas lokal məlumatları ifşa edə və mövcud yazıla bilən faylları yenidən yaza bilər. Bu zəiflik 2.5.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| truelockmc streambert | < 2.5.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.