CVE-2026-52873
Açıklama
Streambert, video içeriği akışını sağlamak ve indirmek için kullanılan platformlar arası bir Electron Masaüstü Uygulamasıdır. Versiyon 2.5.0'dan versiyon 2.6.0'a kadar, index.js içindeki wyzie-open-redeem IPC işleyicisi partition:wyzie-redeem Electron oturumu oluşturur ve bu oturumdaki her yanıttan Content-Security-Policy başlığını kaldıran bir onHeadersReceived kancası kaydeder. Redeem penceresinde ayrıca bir setWindowOpenHandler kısıtlaması bulunmamaktadır; bu nedenle yüklenen üçüncü taraf bir kaynak olan sub.wyzie.io veya gezinme yoluyla ulaşılan bir sitedeki betik enjeksiyonu, CSP kısıtlamaları olmaksızın yürütülür ve ek pencereleri ile kalıcı oturum depolamasını etkileyebilir. Bir kullanıcının Wyzie API anahtarı redemption penceresini açması gerekir ve istismar edilmesi, yüklenen bir sayfada saldırgan tarafından kontrol edilen betik içeriğinin bulunmasını gerektirir. Ortaya çıkan renderer betiği, renderer üzerinden sunulan uygulama işlevselliğini çağırabilir ve dahili servislere veya hassas verilere erişmek için diğer güvenlik açıklarıyla zincirlenebilir. Bu sorun versiyon 2.6.0'da düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| truelockmc streambert | < 2.6.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.