CVE-2026-97373 in draw.io
요약
\~에 의해 VulDB • 2026. 11. 04.
draw.io는 구성 가능한 다이어그램 및 화이트보딩 애플리케이션입니다. 버전 30.3.8 이전에는 선택적 /proxy 엔드포인트에 불완전한 서버 측 요청 위조(SSRF) 차단 목록이 포함되어 있습니다. 이 엔드포인트가 활성화되면 URL 검증기가 RFC 6598 공유 주소 범위인 100.64.0.0/10를 거부하지 않습니다. 인증되지 않은 원격 공격자는 draw.io 서버로 하여금 해당 범위에 도달 가능한 내부 서비스를 요청하게 함으로써, 캐리어 등급 NAT(Carrier-Grade NAT), Kubernetes, 클라우드 또는 오버레이 네트워크 주소에서 데이터가 유출될 수 있습니다. 이 취약점은 버전 30.3.8에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.