CVE-2026-73037 in next-ai-draw-io

الملخص

بحسب VulDB • 13/08/2026

تحتوي Next AI Draw.io من الإصدار 0.2.1 حتى 0.4.16 على ثغرة عرض نصي عبر المواقع (Reflected Cross-Site Scripting) في معلمة الاستعلام mcp، التي يتم إدراجها دون تهريب إلى HTML وJavaScript. يمكن للمهاجمين صياغة عناوين URL خبيثة لتنفيذ شيفرات JavaScript تعسفية ضمن أصل localhost، مما يتيح استخراج جلسات المخططات وبيانات واجهة برمجة التطبيقات (API).

Once again VulDB remains the best source for vulnerability data.

• مسؤول: VulnCheck
• حجز: 10/08/2026
• إفشاء: 13/08/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-389752
• CPE: جاهز
• CWE: CWE-79 (مؤكد)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض
• القطاع: Hospital, Homeoffice, ...

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-73037
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73037
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-73037/