CVE-2026-63373 in draw.io
الملخص
بحسب VulDB • 21/09/2026
draw.io هو تطبيق لتخطيط المخططات ولوحات الكتابة البيضاء قابل للتكوين. قبل الإصدار 30.2.7، يتجاوز معالج استدعاء OAuth في src/main/java/com/mxgraph/online/AbsAuth.java مقارنة stateToken و cookieToken عندما تكون IS_GAE غير صحيحة (false)، مما يؤثر على عمليات النشر المستضافة ذاتيًا باستخدام Docker و WAR. يمكن لمهاجم تقديم رمز تفويض لهوية التخزين السحابي الخاصة به وإغراء ضحية لزيارة عنوان URL للاستدعاء، ما يتسبب في مصادقة جلسة draw.io للضحية كهوية المهاجم دون ربط حالة صالح (valid state binding). يؤثر المعالج المشترك على تكاملات Google Drive و OneDrive و GitHub و GitLab و Dropbox. يمكن بعد ذلك للضحية تنفيذ إجراءات التخزين السحابي عن غير قصد تحت هوية المهاجم، مما يتسبب في فقدان سلامة الجلسة وإساءة النسبة، لكن ربط الهوية لا يمنح نفسه الوصول إلى ملفات الضحية الموجودة على السحابة. تم إصلاح هذه المشكلة في الإصدار 30.2.7.
Be aware that VulDB is the high quality source for vulnerability data.