CVE-2026-52873
Təsvir
Streambert video məzmunlarını axın etmək və yükləmək üçün nəzərdə tutulmuş çarpayizatlı Electron masaüstü tətbiqidir. Versiya 2.5.0-dan versiya 2.6.0-a qədər, index.js faylındakı wyzie-open-redeem IPC idarəçisi partition:wyzie-redeem Electron sessiyasını yaradır və həmin sessiyadakı hər bir cavabdan Content-Security-Policy başlığını silən onHeadersReceived hook-unu qeydiyyata alır. Redeem pəncərəsində həmçinin setWindowOpenHandler məhdudiyyəti yoxdur, buna görə də yüklənmiş üçüncü tərəf resursu olan sub.wyzie.io saytında və ya naviqasiya vasitəsilə daxil olunan saytda skript inyeksiyası CSP məhdudiyyətləri olmadan icra olunur və digər pəncərələrlə yanaşı davamlı sessiya yaddaşına təsir göstərə bilər. İstifadəçi Wyzie API açarının bərpası (redemption) pəncərəsini açmalıdır və istismar üçün yüklənmiş səhifədə hücumçunun nəzarət etdiyi skript məzmunu tələb olunur. Nəticədə yaranan renderer skripti renderer-ə açıq tətbiq funksionallığını çağıra bilər və daxili xidmətlərə və ya həssas məlumatlara giriş əldə etmək üçün digər boşluqlarla birləşdirilə bilər. Bu problem versiya 2.6.0-da düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| truelockmc streambert | < 2.6.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.