Към съдържанието
Търсене

CVE-2026-97373: jgraph drawio, SSRF

5.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

    Описание

    Оригинално описание

    draw.io is a configurable diagramming and whiteboarding application. Prior to 30.3.8, the optional /proxy endpoint contains an incomplete server-side request forgery blocklist. When the endpoint is enabled, the URL validator does not reject the RFC 6598 shared address range 100.64.0.0/10. An unauthenticated remote attacker can cause the draw.io server to request internal services that are reachable in this range, potentially disclosing data from Carrier-Grade NAT, Kubernetes, cloud, or overlay-network addresses. This vulnerability is fixed in 30.3.8.

    Засегнати продукти

    • jgraph drawio: < 30.3.8

    Вид слабост

    История

    • 4 ноември 2026 Публикувано

    Други уязвимости в jgraph drawio

    Първоизточници

    CVE-2026-97373: jgraph drawio, SSRF | freedomonline.bg