CVE-2026-114606 Lectura arbitraria de archivos locales en draw.io Desktop

Qué es CVE-2026-114606

En draw.io Desktop anterior a 31.4.4, los manejadores IPC de lectura del proceso principal de Electron operan sobre rutas elegidas por el renderer sin la autorización de rutas permitidas que sí protege a los de escritura. Cualquier frame en el origen file:// de la app puede leer archivos locales que ese mismo origen tiene prohibido escribir.

Productos y versiones afectadas

• jgraph drawio-desktop

  • < 31.4.4

Qué hacer

1. Verificá si usás drawio-desktop y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 5.6 MEDIA

CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Activa

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

draw.io Desktop is the official Electron build of draw.io. Prior to 31.4.4, draw.io Desktop is vulnerable to arbitrary local-file disclosure through the Electron main process's read-side IPC handlers. The readFile, getFileDrafts, getBkpFile, fileStat, isFileWritable, checkFileExists, and watchFile actions operate on a renderer-chosen filesystem path with no blessed-path (assertWritablePath) authorization. The only gates are validateSender — a URL-prefix origin check — plus, for readFile alone, a content "sniff" and a lexical appBaseDir prefix block. The write-side handlers (saveFile, writeFile, saveDraft, deleteFile) are all protected by assertWritablePath; the read side is not. The result is a read/write authorization asymmetry: any frame executing in the app's file:// origin can read the contents of local files that the same origin is explicitly forbidden to write. This issue is fixed in version 31.4.4.

Referencias

• github.com/jgraph/drawio-desktop/security/advisories/GHSA-fjgc-8xgj-rvh4X_REFSOURCE_CONFIRM
• github.com/jgraph/drawio-desktop/commit/9c933514b8bcc90a91d88c685525a8885de4027eX_REFSOURCE_MISC
• github.com/jgraph/drawio-desktop/releases/tag/v31.4.4X_REFSOURCE_MISC

Historial de la alerta

1. 22 OCT · 15:01VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.