CVE-2026-73037

ŚrednieCVSS 6.1

Opublikowano: 13/08/2026(UTC)Zaktualizowano: 14/08/2026(UTC)Przetłumaczono: 14/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Next AI Draw.io w wersjach od 0.2.1 do 0.4.16 zawiera podatność na odzwierciedlony cross-site scripting w parametrze mcp, który jest interpolowany bez ucieczki do HTML i JavaScript. Atakujący mogą tworzyć złośliwe URL-e, aby wykonać dowolny JavaScript w kontekście origin localhost, umożliwiając eksfiltrację sesji diagramów i danych API.

Ocena ryzyka

Atakujący może wykraść dane sesji i diagramy, co może prowadzić do naruszenia poufności informacji projektowych i danych API.

Rekomendacja

Zaktualizuj Next AI Draw.io do najnowszej wersji oraz unikaj klikania w podejrzane linki.

Oryginalny opis (angielski, źródło NVD)

Next AI Draw.io 0.2.1 through 0.4.16 contains a reflected cross-site scripting vulnerability in the mcp query parameter that is interpolated without escaping into HTML and JavaScript. Attackers can craft malicious URLs to execute arbitrary JavaScript in the localhost origin, enabling exfiltration of diagram sessions and API data.