CVE-2026-115762

Nome do Software Vulnerável e Versões Afetadas draw.io versões anteriores a 31.1.5

Description O decodificador GraphML permite a poluição de protótipo (prototype pollution), uma condição onde um invasor pode manipular o protótipo de um objeto para injetar propriedades. Ao utilizar chaves de referência GraphML controladas, um invasor pode endereçar propriedades de objetos herdados e atribuir atributos arbitrários a eles. A importação de um arquivo GraphML malicioso desencadeia essa poluição no lado do cliente. Quando o editor é utilizado no modo Trello e a integração com o Trello é invocada, esse estado poluído pode ser usado para executar scripts arbitrários na origem do draw.io.

Recommendations Atualize o draw.io para a versão 31.1.5.