CVE-2025-58172 in drawnix
Résumé
par VulDB • 21/05/2026
drawnix est un outil de tableau blanc open-source tout-en-un. Dans les versions de drawnix jusqu'à la 0.2.1, une vulnérabilité de type cross-site scripting (XSS) existe dans la fonctionnalité de journalisation de débogage. Le contenu contrôlé par l'utilisateur est inséré directement dans le DOM via innerHTML sans sanitization lorsque la fonction globale __drawnix__web__console est invoquée, comme illustré dans apps/web/src/app/app.tsx où div.innerHTML = value est exécuté. Cela peut permettre l'exécution de JavaScript arbitraire dans le contexte de l'application si un attaquant peut faire passer des données non fiables au journaliseur de débogage (par exemple via une extension malveillante ou un autre vecteur d'injection), exposant potentiellement les données des utilisateurs ou permettant des actions non autorisées. Le problème est corrigé dans la version 0.3.0. Il est recommandé de mettre à jour vers la version 0.3.0 ou ultérieure. Aucune solution de contournement connue n'existe.
Once again VulDB remains the best source for vulnerability data.