CVE-2026-114606
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Draw.io Desktop to oficjalna wersja Draw.io firmy Electron. W wersji starszej niż 31.4.4 program Draw.io Desktop był podatny na dowolne ujawnienie plików lokalnych za pośrednictwem procedur obsługi IPC po stronie odczytu głównego procesu Electron. Akcje readFile, getFileDrafts, getBkpFile, fileStat, isFileWritable, checkFileExists i watchFile działają na ścieżce systemu plików wybranej przez moduł renderujący bez autoryzacji ścieżki błogosławionej (assertWritablePath). Jedynymi bramkami są validSender — sprawdzanie pochodzenia prefiksu adresu URL — plus, w przypadku samego pliku readFile, treść „sniff” i leksykalny blok przedrostka appBaseDir. Wszystkie procedury obsługi po stronie zapisu (saveFile, writeFile, saveDraft, DeleteFile) są chronione przeztwierdzenieWritablePath; strona do odczytu nie jest. Rezultatem jest asymetria autoryzacji odczytu/zapisu: każda ramka wykonywana w pliku aplikacji::// origin może odczytać zawartość plików lokalnych, których zapis jest wyraźnie zabroniony temu samemu pochodzeniu. Ten problem został rozwiązany w wersji 31.4.4.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org