CVE-2026-97373

Nome do Software Vulnerável e Versões Afetadas draw.io versões anteriores a 30.3.8

Description O endpoint opcional '/proxy' contém uma lista de bloqueio incompleta para server-side request forgery (SSRF). SSRF é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido. Quando este endpoint está habilitado, o validador de URL não rejeita a faixa de endereços compartilhados RFC 6598 100.64.0.0/10. Isso permite que um invasor remoto não autenticado force o servidor a solicitar serviços internos dentro dessa faixa, o que pode levar à divulgação de dados de endereços de nuvem, Kubernetes, redes overlay ou Carrier-Grade NAT.

Recommendations Atualize para a versão 30.3.8. Como medida de mitigação temporária, desabilite o endpoint '/proxy'.