CVE-2026-119333

WysokieCVSS 7.8

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

W draw.io Desktop przed wersją 31.5.2 aplikacja Windows uruchamiała powershell i attrib po samej nazwie pliku wykonawczego. Gdy draw.io nie był uruchomiony, otwarcie diagramu z Eksploratora plików ustawiało katalog diagramu jako bieżący katalog roboczy, umożliwiając uruchomienie podstawionego powershell.bat lub attrib.exe z tego katalogu.

Ocena ryzyka

Ofiara, która rozpakuje dostarczone archiwum i otworzy znajdujący się w nim plik .drawio, może uruchomić kod atakującego. Wymaga to włączenia lokalnych czcionek lub aktualizacji atrybutów wersji roboczej lub kopii zapasowej.

Rekomendacja

Zaktualizuj draw.io Desktop do wersji 31.5.2 lub nowszej. Unikaj otwierania plików .drawio z niezaufanych archiwów, zwłaszcza gdy w katalogu znajdują się inne pliki wykonywalne.

Inne podatności w draw.io Desktop

CVE-2026-114606Średnie
draw.io Desktop przed wersją 31.4.4 jest podatny na ujawnienie dowolnych plików lokalnych poprzez czytające handlery IPC w procesie głównym Electron. Akcje readFile, getFileDrafts, getBkpFile, fileStat, isFileWritable, checkFileExists i watchFile działają na ścieżce wybranej przez renderer bez autoryzacji assertWritablePath, co pozwala na odczyt plików, do których zapis jest zabroniony.

Oryginalny opis (angielski, źródło NVD)

draw.io Desktop is the official Electron build of draw.io. Prior to 31.5.2, the Windows application launched powershell and attrib by bare executable name from src/main/electron.js. When draw.io Desktop was not already running, opening a diagram from File Explorer made the diagram directory the current working directory, allowing a colocated attacker-controlled powershell.bat or attrib.exe to be resolved before the intended system executable. A victim who extracted an attacker-supplied archive and cold-opened its legitimate .drawio file could therefore execute attacker-controlled code when Local Fonts were enabled or when draft or backup attributes were updated. This issue is fixed in version 31.5.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS