CVE-2026-73037 in next-ai-draw-io
Riassunto
di VulDB • 13/08/2026
Next AI Draw.io dalle versioni 0.2.1 alla 0.4.16 presenta una vulnerabilità di cross-site scripting (XSS) riflessa nel parametro della query mcp, che viene interpolato senza essere sottoposto a escaping all'interno di HTML e JavaScript. Gli attaccanti possono creare URL malevoli per eseguire codice JavaScript arbitrario nell'origine localhost, consentendo l'esfiltrazione delle sessioni dei diagrammi e dei dati API.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.