Skip to content
OpenAdvisories
Medium WID-SEC-2026-4359 1 CVE

drawio: Schwachstelle ermöglicht Offenlegung von Informationen

Published Nov 4, 2026 · Updated Nov 4, 2026 · de-DE

Platform: Linux

Summary

Ein entfernter, anonymer Angreifer kann eine Schwachstelle in drawio ausnutzen, um Informationen offenzulegen.

Product

Open Source draw.io ist eine quelloffene Software zur Erstellung von Diagrammen und Flussdiagrammen.

Vulnerabilities 1

  • Medium 5.8
    CVE-2026-97373

    draw.io: Incomplete SSRF blocklist in `ProxyServlet` / `Utils.sanitizeUrl`: RFC 6598 CGNAT range `100.64.0.0/10` is not blocked -> server-side request to internal CGNAT hosts

    draw.io is a configurable diagramming and whiteboarding application. Prior to 30.3.8, the optional /proxy endpoint contains an incomplete server-side request forgery blocklist. When the endpoint is enabled, the URL validator does not reject the RFC 6598 share…

    jgraph drawio

Revision history

  1. #1

    Initiale Fassung

References