CVE-2026-114606
Açıklama
draw.io Desktop, draw.io'nun resmi Electron sürümüdür. 31.4.4 sürümünden önce draw.io Desktop, Electron ana sürecinin okuma tarafı IPC işleyicileri aracılığıyla rastgele yerel dosya ifşasına karşı savunmasızdır. readFile, getFileDrafts, getBkpFile, fileStat, isFileWritable, checkFileExists ve watchFile eylemleri, herhangi bir onaylı yol (assertWritablePath) yetkilendirmesi olmaksızın, renderer tarafından seçilen bir dosya sistemi yolu üzerinde çalışır. Tek denetimler, bir URL ön eki köken kontrolü olan validateSender ile yalnızca readFile için içerik "koklama" ve sözcük tabanlı bir appBaseDir ön ek engellemesidir. Yazma tarafı işleyicilerinin tamamı (saveFile, writeFile, saveDraft, deleteFile) assertWritablePath tarafından korunurken, okuma tarafı korunmamaktadır. Bunun sonucunda bir okuma/yazma yetkilendirme asimetrisi oluşur: uygulamanın file:// kökeninde çalışan herhangi bir çerçeve, aynı kökenin yazmasının açıkça yasak olduğu yerel dosyaların içeriğini okuyabilir. Bu sorun 31.4.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jgraph drawio-desktop | < 31.4.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.