PT-2026-121424
CVE-2026-114606
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 4.0
5.6
متوسطةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
draw.io Desktop الإصدارات السابقة لـ 31.4.4
الوصف
يوجد خلل يؤدي إلى الكشف التعسفي عن الملفات المحلية بسبب عدم تماثل تفويض القراءة/الكتابة في معالجات IPC لجانب القراءة في عملية Electron الرئيسية. بينما تتم حماية معالجات جانب الكتابة بواسطة
assertWritablePath فإن إجراءات جانب القراءة تعمل على مسارات نظام الملفات التي يختارها المصير (renderer) دون تفويض مماثل. تشمل الوظائف المتأثرة readFile() و getFileDrafts() و getBkpFile() و fileStat() و isFileWritable() و checkFileExists() و watchFile(). ونتيجة لذلك، يمكن لأي إطار عمل يتم تنفيذه في أصل file:// الخاص بالتطبيق قراءة محتويات الملفات المحلية التي يُمنع نفس الأصل من الكتابة فيها.التوصيات
التحديث إلى الإصدار 31.4.4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾