CVE-2026-119333 in drawio-desktop
Zusammenfassung
von VulDB • 30.10.2026
draw.io Desktop ist der offizielle Electron-Build von draw.io. Vor Version 31.5.2 startete die Windows-Anwendung powershell und attrib unter Verwendung des blohen Executable-Namens aus src/main/electron.js. Wenn draw.io Desktop nicht bereits ausgeführt wurde, führte das Öffnen einer Zeichnung über den Datei-Explorer dazu, dass das Verzeichnis der Zeichung zum aktuellen Arbeitsverzeichnis wurde, wodurch es einem Angreifer mit lokalem Zugriff ermöglicht wurde, eine von ihm kontrollierte powershell.bat oder attrib.exe vor dem beabsichtigten Systemexecutable aufzulösen. Ein Opfer, das ein vom Angreifer bereitgestelltes Archiv entpackt und dessen legitime .drawio-Datei kalt geöffnet hat, konnte daher angreiferkontrollierten Code ausführen, wenn Lokale Schriftarten aktiviert waren oder wenn Entwurfs- oder Sicherungsattribute aktualisiert wurden. Dieses Problem wurde in Version 31.5.2 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.