draw.io Desktop: Hijacking des Programmpfads unter Windows
Zusammenfassung
draw.io Desktop für Windows startet die Systemprogramme powershell und attrib nur über den Programmnamen. Ist draw.io nicht geöffnet und wird ein Diagramm aus dem Explorer geöffnet, wird der Ordner des Diagramms zum aktuellen Arbeitsverzeichnis, sodass eine vom Angreifer bereitgestellte Datei powershell.bat oder attrib.exe in diesem Ordner anstelle des Systemprogramms ausgeführt werden kann. Ein Angreifer kann Code mit den Rechten des Benutzers ausführen, wenn das Opfer ein manipuliertes Archiv entpackt und die enthaltene .drawio-Datei öffnet, und Local Fonts aktiviert sind oder Entwurfs- bzw. Backup-Attribute aktualisiert werden.
Betroffen
- draw.io Desktop (jgraph/drawio-desktop) unter Windows, Versionen vor 31.5.2
Behoben in
- Behoben in Version 31.5.2, die Windows-Systemprogramme mit dem vollständigen Pfad startet.
Umgehung
- Unbekannt. Das Advisory des Herstellers nennt keine weiteren Massnahmen.
- Bis zur Installation des Updates keine .drawio-Dateien aus unbekannten Archiven oder Downloads öffnen.
Ausnutzung
- Kein öffentlicher Exploit-Code und keine bekannte Ausnutzung zum aktuellen Informationsstand (CISA KEV: nicht gelistet).
- Angriffsvektor ist lokal, keine Berechtigungen erforderlich, Benutzerinteraktion erforderlich (CVSS 7.8).
Unsere Empfehlung
- draw.io Desktop unter Windows auf 31.5.2 oder eine neuere Version aktualisieren.
- Prüfen, auf welchen Windows-Arbeitsstationen draw.io Desktop installiert ist, und jene priorisieren, auf denen Dateien aus E-Mails oder Downloads geöffnet werden.
- Benutzer anweisen, bis zur Installation des Updates keine Diagramme aus unbekannten Archiven zu öffnen.
- Auf unerwartete powershell- oder attrib-Prozesse überwachen, die von draw.io gestartet werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 3fed7ec github.com
- draw.io Desktop release 31.5.2 github.com
- GitHub Security Advisory GHSA-qg46-52fx-h7p8 github.com
- OffSeq Radar CVE-2026-119333 radar.offseq.com
- VulDB CVE-2026-119333 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.