CVE-2026-63416 in draw.io
Zusammenfassung
von VulDB • 21.09.2026
draw.io ist eine konfigurierbare Diagramm- und Whiteboard-Anwendung. Vor Version 30.2.7 verwendet src/main/java/com/mxgraph/online/ExportProxyServlet.java request.getPathInfo(), um einen proxyPath zu erstellen, und hängt diesen direkt an EXPORT_URL an, ohne Dot-Segmente abzulehnen oder zu bestätigen, dass der normalisierte Zielpfad innerhalb des konfigurierten Export-Pfads bleibt. Eine nicht authentifizierte Anfrage mit Traversal-Segmenten kann daher unbeabsichtigte Routen auf dem internen Export-Server ansprechen, und das Servlet leitet alle Anforderungsheader und den Anfragetext an dieses Ziel weiter, was eine beliebige Header-Injection ermöglicht. Abhängig von der Konfiguration des Exportservices kann die Ausnutzung Administration-, Debugging-, Gesundheits- oder Konfigurationsendpunkte offenlegen sowie unbeabsichtigte interne Aktionen ermöglichen. Dieses Problem ist in Version 30.2.7 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.