Veille sécuritéFrontend
P3Élevée
draw.io Desktop sous Windows pouvait lancer un exécutable malveillant placé dans le dossier d’un diagramme ouvert depuis l’Explorateur, si l’application n’était pas déjà lancée. Le risque concerne notamment certains traitements de polices locales, brouillons ou sauvegardes ; la version 31.5.2 corrige le problème.
Electron
IdentifiantCVE-2026-119333
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifdraw.io Desktop 31.5.2
Source : Fiche NVD CVE-2026-119333
Analyse technique
L’application lançait powershell et attrib par leur nom seul ; l’ouverture à froid d’un diagramme pouvait faire rechercher ces exécutables dans le répertoire du diagramme.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée le 2026-10-30 à 20:17:07.780Z, soit 2026-10-30T22:17:07.780+02:00, dans la période demandée. La date de dernière modification NVD du 2026-11-02 est postérieure à la période et n’est pas retenue.
ImpactExécution possible de code contrôlé par un attaquant sur Windows, sous réserve que la victime ouvre un diagramme préparé dans les conditions décrites.
Versions affectéesdraw.io Desktop antérieur à 31.5.2, selon l’avis associé à la CVE
Version corrigéedraw.io Desktop 31.5.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.8
Publication2026-10-30T22:17:07.780+02:00
Action recommandée
Mettre à jour draw.io Desktop vers la version 31.5.2 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).