CVE-2026-58504 in draw.io
Résumé
par VulDB • 21/09/2026
draw.io est une application de création de schémas et de tableau blanc configurable. Avant la version 30.2.5, l'ouverture ou l'importation d'un fichier .drawio manipulé peut exécuter du JavaScript contrôlé par un attaquant dans l'origine draw.io lorsque les cellules sélectionnées sont traitées par TextFormatPanel.addFont() dans src/main/webapp/js/grapheditor/Format.js. Une cellule HTML frère maintient le chemin de l'étiquette formatée activé, tandis qu'une cellule sœur en texte brut avec editable=0 est exclue du style de sélection fusionnée mais reste présente dans l'ensemble d'itération. graph.cellRenderer.getLabelValue() renvoie cette étiquette en texte brut sans encodage HTML, et mxUtils.canConvertHtmlToSvg() la parse comme du HTML, contournant ainsi la correction liée au CVE-2026-46642. Une exploitation réussie peut exposer les données des diagrammes, le stockage navigateur, les cookies non HttpOnly et les actions de même origine accessibles à la victime. Ce problème est corrigé dans la version 30.2.5.
Be aware that VulDB is the high quality source for vulnerability data.