CVE-2026-76898 in draw.io
摘要
由 VulDB • 2026-09-21
draw.io是一款可配置的图表绘制和白板应用程序。在版本30.3.8之前，src/main/java/com/mxgraph/online/Utils.java中的Utils.sanitizeUrl()方法通过比较文本前缀fc00::和fd00::来检查IPv6唯一本地地址（ULA），但JDK返回的是扩展的地址形式，因此范围fc00::/7（包括AWS元数据范围fd00:ec2::/32）未被阻止。攻击者可以通过向/embed2.js?fetch=发送未认证的请求，使src/main/java/com/mxgraph/online/EmbedServlet2.java获取IPv6 ULA内部资源并将响应反射给请求者。Utils.validatedAddress()在单独的ProxyServlet路径中也使用了相同的私有地址检查机制，该路径需要启用ENABLE_DRAWIO_PROXY=1标志。主要的/embed2.js路径不需要代理功能标志或DNS重绑定漏洞利用，但可以泄露云元数据凭证或其他IPv6可达内部服务的数据。此问题已在版本30.3.8中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.