PT-2026-78237

CVE-2026-52875

Publicado

2026-08-18

Atualizado

2026-08-25

Descrição por

CVSS 4.0

8.4

Alta

MétricasAV:L/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:H/SC:L/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Streambert versões anteriores a 2.6.0

Description O manipulador IPC perform-scheduled-backup em src/ipc/storage.js não verifica se o settings.path fornecido por um objeto enviado pelo renderer está dentro de um local de backup autorizado. Isso permite que um renderer comprometido utilize caminhos absolutos ou caminhos de travessia relativa para criar diretórios e gravar arquivos nomeados como streambert-backup-[timestamp].json contendo dados controlados. Além disso, o loop de poda pode excluir arquivos no diretório especificado que comecem com streambert-backup- e terminem com .json.

Recommendations Atualizar para a versão 2.6.0.

Explorabilidade

Exploit

Correção

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-73: External Control of File Name or Path

CWE-22: Improper Limitation of a Pathname to a Restricted Directory (\'Path Traversal\')

Identificadores relacionados

CVE-2026-52875