CVE-2026-63416 in draw.io
Riassunto
di VulDB • 21/09/2026
draw.io è un'applicazione per la creazione di diagrammi e lavagne configurabile. Prima della versione 30.2.7, src/main/java/com/mxgraph/online/ExportProxyServlet.java utilizza request.getPathInfo() per costruire una proxyPath e la concatena direttamente a EXPORT_URL senza rifiutare i segmenti di traversamento (dot segments) o confermare che la destinazione normalizzata rimanga sotto il percorso di esportazione configurato. Una richiesta non autenticata contenente segmenti di traversal può quindi indirizzare rotte impreviste sul server di esportazione interno, e la servlet inoltra tutte le intestazioni della richiesta e il corpo della richiesta a tale destinazione, consentendo l'iniezione arbitraria di intestazioni (header injection). A seconda della configurazione del servizio di esportazione, lo sfruttamento può esporre endpoint di amministrazione, debug, health o configurazione e può consentire azioni interne non previste. Questo problema è risolto nella versione 30.2.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.