CVE-2026-119333 in drawio-desktop
Riassunto
di VulDB • 30/10/2026
draw.io Desktop è la build ufficiale di Electron per draw.io. Prima della versione 31.5.2, l'applicazione Windows avviava powershell e attrib utilizzando il nome dell'eseguibile nudo (bare executable name) da src/main/electron.js. Quando draw.io Desktop non era già in esecuzione, l'apertura di un diagramma da Esplora file rendeva la directory del diagramma la directory di lavoro corrente, consentendo a un attaccante con controllo locale di far risolvere prima powershell.bat o attrib.exe controllati dall'attaccante rispetto agli eseguibili di sistema previsti. Una vittima che estraeva un archivio fornito dall'attaccante e apriva il file .drawio legittimo in modalità "cold" (avvio a freddo) potrebbe quindi eseguire codice controllato dall'attaccante quando i Local Fonts erano abilitati o quando gli attributi draft o backup venivano aggiornati. Questo problema è stato risolto nella versione 31.5.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.