CVE-2026-114606 in drawio-desktop
Riassunto
di VulDB • 22/10/2026
draw.io Desktop è la build ufficiale di Electron per draw.io. Prima della versione 31.4.4, draw.io Desktop è vulnerabile alla divulgazione arbitraria di file locali attraverso i gestori IPC lato lettura del processo principale di Electron. Le azioni readFile, getFileDrafts, getBkpFile, fileStat, isFileWritable, checkFileExists e watchFile operano su un percorso filesystem scelto dal renderer senza alcuna autorizzazione blessed-path (assertWritablePath). I soli controlli sono validateSender — un controllo dell'origine basata sul prefisso URL — più, per readFile solo, uno "sniff" del contenuto e un blocco basato sul prefisso lessicale di appBaseDir. I gestori lato scrittura (saveFile, writeFile, saveDraft, deleteFile) sono tutti protetti da assertWritablePath; il lato lettura non lo è. Il risultato è una asimmetria nell'autorizzazione read/write: qualsiasi frame che esegue codice nell'origine file:// dell'app può leggere i contenuti di file locali che la stessa origine ha esplicitamente il divieto di scrivere. Questo problema è risolto nella versione 31.4.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.