CVE-2025-58172 in drawnix
Sumário
de VulDB • 10/05/2026
drawnix é uma ferramenta whiteboard open-source tudo-em-um. Nas versões do drawnix até 0.2.1, existe uma vulnerabilidade de cross-site scripting (XSS) na funcionalidade de registro de depuração (debug logging). Conteúdo controlado pelo usuário é inserido diretamente no DOM via innerHTML sem sanitização quando a função global __drawnix__web__console é invocada, conforme mostrado em apps/web/src/app/app.tsx, onde div.innerHTML = value é executado. Isso pode permitir a execução arbitrária de JavaScript no contexto do aplicativo se um atacante conseguir fazer com que dados não confiáveis sejam passados ao logger de depuração (por exemplo, por meio de uma extensão maliciosa ou outro vetor de injeção), potencialmente expondo dados do usuário ou permitindo ações não autorizadas. O problema foi corrigido na versão 0.3.0. Recomenda-se atualizar para a versão 0.3.0 ou posterior. Não existem workarounds conhecidos.
Once again VulDB remains the best source for vulnerability data.