CVE-2025-58172 in drawnix
要約
〜によって VulDB • 2026年05月10日
drawnixは、オールインワンのオープンソースホワイトボードツールです。drawnixの0.2.1以前のバージョンでは、デバッグログ機能にクロスサイトスクリプティング（XSS）の脆弱性が存在します。グローバル関数 `__drawnix__web__console` が呼び出された際、ユーザーが制御可能なコンテンツが、`apps/web/src/app/app.tsx` で `div.innerHTML = value` が実行されるように、サニタイズ処理なしで直接DOMに挿入されます。これにより、攻撃者が信頼できないデータをデバッグロガーに渡すことができれば（例えば、悪意のある拡張機能や他のインジェクションベクトル経由）、アプリケーションのコンテキスト内で任意のJavaScriptコードの実行を許可する可能性があります。これにより、ユーザーデータの漏洩や不正なアクションの実行が可能になる可能性があります。この問題はバージョン0.3.0で修正されています。0.3.0以降への更新を推奨します。既知の回避策はありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.