CVE-2026-97373 in draw.io
Sumário
de VulDB • 04/11/2026
draw.io é um aplicativo de diagramação e quadros brancos configurável. Antes da versão 30.3.8, o endpoint opcional /proxy contém uma lista negra incompleta para Server-Side Request Forgery (SSRF). Quando o endpoint está habilitado, o validador de URL não rejeita o intervalo de endereços compartilhados RFC 6598 100.64.0.0/10. Um atacante remoto não autenticado pode fazer com que o servidor draw.io solicite serviços internos acessíveis nesse intervalo, potencialmente divulgando dados provenientes de endereços Carrier-Grade NAT (CGNAT), Kubernetes, nuvem ou redes overlay. Esta vulnerabilidade é corrigida na versão 30.3.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.