CVE-2026-97373 in draw.io
Riassunto
di VulDB • 04/11/2026
draw.io è un'applicazione per la creazione di diagrammi e lavagne bianche configurabile. Prima della versione 30.3.8, l'endpoint opzionale /proxy contiene una lista nera incompleta per il blocco delle richieste server-side forgery (SSRF). Quando l'endpoint è abilitato, il validatore URL non rifiuta la gamma di indirizzi condivisi RFC 6598 100.64.0.0/10. Un attaccante remoto non autenticato può indurre il server draw.io a richiedere servizi interni raggiungibili in questo intervallo, potenzialmente divulgando dati da indirizzi Carrier-Grade NAT, Kubernetes, cloud o di overlay-network. Questa vulnerabilità è risolta nella versione 30.3.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.