CVE-2025-58172 in drawnix
Tóm tắt
Bởi VulDB • 21/05/2026
drawnix là một công cụ bảng trắng mã nguồn mở tích hợp đầy đủ. Trong các phiên bản drawnix từ 0.2.1 trở về trước, tồn tại một lỗ hổng bảo mật xuyên trang (XSS) trong chức năng ghi nhật ký gỡ lỗi. Nội dung do người dùng kiểm soát được chèn trực tiếp vào DOM thông qua innerHTML mà không được lọc (sanitization) khi hàm toàn cục __drawnix__web__console được gọi, như được minh họa trong apps/web/src/app/app.tsx nơi lệnh div.innerHTML = value được thực thi. Điều này có thể cho phép thực thi mã JavaScript tùy ý trong ngữ cảnh của ứng dụng nếu kẻ tấn công có thể khiến dữ liệu không đáng tin cậy được chuyển đến trình ghi nhật ký gỡ lỗi (ví dụ: thông qua một tiện ích mở rộng độc hại hoặc một vectơ tiêm khác), có khả năng làm lộ dữ liệu người dùng hoặc cho phép thực hiện các hành động trái phép. Lỗ hổng này đã được khắc phục trong phiên bản 0.3.0. Khuyến nghị nâng cấp lên phiên bản 0.3.0 hoặc mới hơn. Không có các giải pháp tạm thời nào được biết đến.
Be aware that VulDB is the high quality source for vulnerability data.