CVE-2026-73037
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Next AI Draw.io w wersjach od 0.2.1 do 0.4.16 zawiera podatność na odzwierciedlony cross-site scripting w parametrze mcp, który jest interpolowany bez ucieczki do HTML i JavaScript. Atakujący mogą tworzyć złośliwe URL-e, aby wykonać dowolny JavaScript w kontekście origin localhost, umożliwiając eksfiltrację sesji diagramów i danych API.
Ocena ryzyka
Atakujący może wykraść dane sesji i diagramy, co może prowadzić do naruszenia poufności informacji projektowych i danych API.
Rekomendacja
Zaktualizuj Next AI Draw.io do najnowszej wersji oraz unikaj klikania w podejrzane linki.
Inne podatności w Next AI Draw.io
Zobacz wszystkie- CVE-2026-50755Krytyczne
Problem w DayuanJiang next-ai-draw-io w wersji 0.4.13 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez nagłówek X-Forwarded-For.
- CVE-2026-72777Wysokie
Next AI Draw.io do wersji 0.4.16 zawiera podatność na atak typu server-side request forgery (SSRF) w punkcie końcowym POST /api/parse-url z powodu walidacji nazwy hosta, która sprawdza tylko wzorce ciągów bez rozwiązywania DNS. Nieuwierzytelnieni atakujący mogą podać nazwy hostów, które omijają walidację ciągów, ale rozwiązują się na adresy wewnętrzne, co pozwala im dotrzeć do dowolnych wewnętrznych usług HTTP i eksfiltrować odpowiedzi, w tym metadane chmury.
- CVE-2026-50758Wysokie
W DayuanJiang next-ai-draw-io 0.4.13 występuje podatność na Cross Site Scripting (XSS) poprzez parametr mcp, umożliwiająca zdalnemu atakującemu wykonanie dowolnego kodu.
- CVE-2026-50757Wysokie
W DayuanJiang next-ai-draw-io 0.4.13 występuje podatność na Directory Traversal, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez nex-ai-draw-io/mcp-server.
- CVE-2026-50756Wysokie
Problem w DayuanJiang next-ai-draw-io w wersji 0.4.13 pozwala zdalnemu atakującemu na uzyskanie wrażliwych informacji poprzez komponent x-ai-provider.
Oryginalny opis (angielski, źródło NVD)
Next AI Draw.io 0.2.1 through 0.4.16 contains a reflected cross-site scripting vulnerability in the mcp query parameter that is interpolated without escaping into HTML and JavaScript. Attackers can craft malicious URLs to execute arbitrary JavaScript in the localhost origin, enabling exfiltration of diagram sessions and API data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS