CVE-2026-97373 in draw.io
要約
〜によって VulDB • 2026年11月04日
draw.io は、設定可能なダイアグラム作成およびホワイトボードアプリケーションです。バージョン 30.3.8 より前では、オプションの /proxy エンドポイントに不十分なサーバーサイドリクエストフォージェリ (SSRF) ブロックリストが含まれていました。このエンドポイントを有効にした場合、URL バリデーターは RFC 6598 で定義された共有アドレス範囲である 100.64.0.0/10 を拒否しません。認証不要の攻撃者は遠隔から draw.io サーバーに対して内部サービスへのアクセスを誘導し、キャリアグレード NAT (CGN)、Kubernetes、クラウド環境、またはオーバーレイネットワーク内のアドレスに格納されたデータを漏洩させる可能性があります。この脆弱性はバージョン 30.3.8 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.