PT-2025-37726 · Drawnix · Drawnix

H3Rrr · Publicado 2025-09-15 · Atualizado 2025-09-20 · CVE-2025-58172

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas versões do drawnix até a 0.2.1

Descrição O drawnix é uma ferramenta de quadro branco open-source tudo-em-um. Existe uma vulnerabilidade de cross-site scripting (XSS) na funcionalidade de log de debug. Conteúdo controlado pelo usuário é inserido diretamente no DOM via innerHTML sem sanitização quando a função global drawnix web console é invocada. Especificamente, em apps/web/src/app/app.tsx, div.innerHTML = value é executado. Isso pode permitir a execução arbitrária de JavaScript no contexto da aplicação se um atacante conseguir fazer com que dados não confiáveis sejam passados para o logger de debug, potencialmente expondo dados do usuário ou permitindo ações não autorizadas.

Recomendações Atualize para a versão 0.3.0 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-58172

GHSA-CQ57-Q8HG-XHXF

Produtos afetados

Drawnix

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/58xxx/CVE-2025-58172.json · Exploit
• https://github.com/plait-board/drawnix/commit/92536e63c1adcc509ac51fdd439d4794c8081c58 · Nota
• https://github.com/plait-board/drawnix/security/advisories/GHSA-cq57-q8hg-xhxf · Nota
• https://twitter.com/VulmonFeeds/status/1967789070513295726 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-58172 · Nota de Segurança
• https://twitter.com/CVEnew/status/1969292020817576136 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-58172 · Aviso do Fabricante