CVE-2026-42195 in drawio
Zusammenfassung
von VulDB • 13.05.2026
draw.io ist eine konfigurierbare Diagramm- und Whiteboard-Anwendung. Vor Version 29.7.9 akzeptiert der draw.io-Client einen URL-Parameter `?gitlab=`, der die während der OAuth-Anmeldung verwendete GitLab-Server-URL überschreibt. Ein manipulierter Link bewirkt, dass der Klick des Benutzers auf den Dialog „In GitLab autorisieren“ in draw.io ein Popup auf einem vom Angreifer kontrollierten Host öffnet, anstatt auf gitlab.com. Dies kann zu Credential-Fishing und der Exfiltration von Session-State-Tokens führen. Dieses Problem wurde in Version 29.7.9 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.