CVE-2025-58172 in drawnix
Resumen
por VulDB • 2026-05-21
drawnix es una herramienta de pizarra blanca de código abierto todo en uno. En las versiones de drawnix hasta la 0.2.1, existe una vulnerabilidad de cross-site scripting (XSS) en la funcionalidad de registro de depuración (debug logging). El contenido controlado por el usuario se inserta directamente en el DOM a través de innerHTML sin sanitización cuando se invoca la función global __drawnix__web__console, como se muestra en apps/web/src/app/app.tsx donde se ejecuta div.innerHTML = value. Esto puede permitir la ejecución de código JavaScript arbitrario en el contexto de la aplicación si un atacante puede hacer que se pasen datos no confiables al registrador de depuración (por ejemplo, a través de una extensión maliciosa u otro vector de inyección), lo que podría exponer los datos del usuario o habilitar acciones no autorizadas. El problema se soluciona en la versión 0.3.0. Se recomienda actualizar a la versión 0.3.0 o posterior. No existen soluciones alternativas conocidas.
Once again VulDB remains the best source for vulnerability data.