O Streambert é um aplicativo multiplataforma Electron Desktop para transmitir e baixar conteúdo de vídeo. Antes de 2.5.0, o utilitário downloadSubtitleFile no src/ ipc/downloads.js, alcançado através do canal IPC executado- baixado, aceita um url de legenda fornecido pelo renderizador usando o esquema URI do arquivo: e passa seu caminho descodificado para fs. copyFileSync. O renderizador também controla downloadPath, que determina o caminho de destino. Um renderizador comprometido pode, portanto, copiar qualquer arquivo legível pelo processo do StreamBERT em um local escrito pelo atacante- escolhido, expondo dados locais sensíveis, e pode sobrescrever arquivos escritos existentes. Esta vulnerabilidade está fixada em 2.5.0. O registro do banco de dados nacional de vulnerabilidade CVE- 2026 - 52872 foi publicado em 2026 - 08 - 18 T 22: 16: 53.650 Z e última modificação em 2026 - 08 - 19 T 17: 19: 22.820 Z. O seu estado gravado é Recebido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 8.8, gravidade HIGH, vetor CVSS: 3.1 /AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, pontuação de exploração 2, pontuação de impacto 6; CVSS. Classificações de fraqueza associadas: CWE- 22, CWE- 73.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.