CVE-2026-46642

Nome do Software Vulnerável e Versões Afetadas draw.io versões anteriores a 29.7.12

Description Um arquivo .drawio manipulado pode executar JavaScript arbitrário na origem do editor ao ser aberto. O problema reside em uma rotina de detecção de recursos no painel de Formato de Texto que lê o rótulo da célula bruta e o atribui ao innerHTML de um elemento destacado sem sanitização. Como os navegadores disparam o evento onerror para falhas no carregamento de imagens mesmo em elementos destacados, um payload como <img src=x onerror=...> em qualquer rótulo de célula dispara a execução do script assim que a célula é selecionada, o que ocorre automaticamente durante a importação.

Recommendations Atualize para a versão 29.7.12.