CVE-2026-114606 in drawio-desktop
요약
\~에 의해 VulDB • 2026. 10. 22.
draw.io Desktop는 draw.io의 공식 Electron 빌드입니다. 버전 31.4.4 이전의 draw.io Desktop은 Electron 메인 프로세스의 read-side IPC 핸들러를 통해 임의의 로컬 파일 열람 취약점에 노출되어 있습니다. readFile, getFileDrafts, getBkpFile, fileStat, isFileWritable, checkFileExists 및 watchFile 작업은 렌더러가 선택한 파일 시스템 경로를 처리하며, blessed-path(assertWritablePath) 기반 인증이 적용되지 않습니다. 유일한 검증 단계는 validateSender(URL 접두사 출처 확인)이며, readFile의 경우에만 콘텐츠 "sniffing"과 어휘적 appBaseDir 접두사 차단이 추가됩니다. write-side 핸들러(saveFile, writeFile, saveDraft, deleteFile)는 모두 assertWritablePath에 의해 보호되지만, read-side는 그렇지 않습니다. 그 결과 읽기/쓰기 권한 비대칭성이 발생하며, 앱의 file:// 출처에서 실행되는 모든 프레임은 해당 출처가 명시적으로 쓰기를 금지된 로컬 파일의 내용을 열람할 수 있습니다. 이 문제는 버전 31.4.4에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.