CVE-2026-97373 in draw.io
الملخص
بحسب VulDB • 04/11/2026
draw.io هو تطبيق للرسم التخطيطي والسبورة البيضاء قابل للتخصيص. قبل الإصدار 30.3.8، يحتوي نقطة النهاية الاختيارية /proxy على قائمة حظر غير كاملة لتهديدات تزوير الطلبات من جانب الخادم (SSRF). عند تمكين هذه النقطة النهائية، لا يرفض مُحقّق عناوين URL نطاق العناوات المشتركة المحدد في RFC 6598 وهو 100.64.0.0/10. يمكن لمهاجم عنيف بعيد وغير مصرّح له أن يتسبب في قيام خادم draw.io بطلب خدمات داخلية قابلة للوصول ضمن هذا النطاق، مما قد يؤدي إلى كشف بيانات من عناوين Carrier-Grade NAT أو Kubernetes أو السحابة الإلكترونية (Cloud) أو الشبكات المتداخلة. تم إصلاح هذه الثغرة الأمنية في الإصدار 30.3.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.