CVE-2026-76898

draw.io yapılandırılabilir bir diyagram oluşturma ve beyaz tahta uygulamasıdır. Versiyon 30.3.8 öncesinde, src/main/java/com/mxgraph/online/Utils.java içindeki Utils.sanitizeUrl() fonksiyonu, IPv6 Unique Local Address'lerini fc00:: ve fd00:: metin öneklerini karşılaştırarak kontrol eder; ancak JDK genişletilmiş adres formunu döndürdüğü için, AWS metadata aralığı olan fd00:ec2::/32 dahil olmak üzere fc00::/7 aralığı engellenmez. Bu nedenle, /embed2.js?fetch= adresine yapılacak kimlik doğrulaması gerektirmeyen bir istek, src/main/java/com/mxgraph/online/EmbedServlet2.java üzerinden bir IPv6 ULA dahili kaynağının getirilmesini ve yanıtın isteği yapan kişiye yansıtılmasını sağlayabilir. Utils.validatedAddress(), ENABLE_DRAWIO_PROXY=1 gerektiren ayrı ProxyServlet yolu için aynı özel adres kontrolünü kullanır. Birincil /embed2.js yolu herhangi bir proxy özellik bayrağı veya DNS rebinding gerektirmez ve bulut metadata kimlik bilgilerini veya diğer IPv6 ile erişilebilir dahili servislerden gelen verileri ifşa edebilir. Bu sorun versiyon 30.3.8 ile düzeltilmiştir.