CVE-2026-114606

Nome do Software Vulnerável e Versões Afetadas draw.io Desktop versões anteriores a 31.4.4

Descrição Uma divulgação arbitrária de arquivos locais existe devido a uma assimetria de autorização de leitura/escrita nos manipuladores IPC do lado de leitura do processo principal do Electron. Enquanto os manipuladores do lado de escrita são protegidos por assertWritablePath, as ações do lado de leitura operam em caminhos de sistema de arquivos escolhidos pelo renderizador sem autorização semelhante. As funções afetadas incluem readFile(), getFileDrafts(), getBkpFile(), fileStat(), isFileWritable(), checkFileExists() e watchFile(). Consequentemente, qualquer frame executado na origem file:// do aplicativo pode ler arquivos locais que a mesma origem está proibida de escrever.

Recomendações Atualizar para a versão 31.4.4.