CVE-2025-58172 in drawnix
Riassunto
di VulDB • 18/06/2026
drawnix è uno strumento open-source all-in-one per lavagne bianche (whiteboard). Nelle versioni di drawnix fino alla 0.2.1, è presente una vulnerabilità cross-site scripting (XSS) nella funzionalità di registrazione dei debug log. I contenuti controllati dall'utente vengono inseriti direttamente nel DOM tramite innerHTML senza alcuna sanificazione quando viene invocata la funzione globale __drawnix__web__console, come mostrato in apps/web/src/app/app.tsx dove viene eseguito div.innerHTML = value. Ciò può consentire l'esecuzione di codice JavaScript arbitrario nell'ambito dell'applicazione se un attaccante riesce a far passare dati non attendibili al logger di debug (ad esempio tramite un'estensione malevola o altri vettori di iniezione), potenzialmente esponendo i dati degli utenti o abilitando azioni non autorizzate. Il problema è stato risolto nella versione 0.3.0. Si consiglia l'aggiornamento alla versione 0.3.0 o successive. Non sono note soluzioni alternative (workaround).
Be aware that VulDB is the high quality source for vulnerability data.