CVE-2026-33976
CriticalSummary
Notesnook to aplikacja do robienia notatek. W wersjach przed 3.3.11 na platformach Web/Desktop oraz 3.3.17 na Android/iOS występuje podatność na przechowywane XSS w procesie renderowania Web Clipper, co może prowadzić do zdalnego wykonania kodu w aplikacji desktopowej.
Risk Assessment
Atakujący może wykorzystać tę podatność do wykonania złośliwego kodu w kontekście aplikacji Notesnook, co stwarza poważne zagrożenie dla bezpieczeństwa danych użytkowników oraz systemu.
Recommendation
Zaleca się aktualizację aplikacji do wersji 3.3.11 na platformach Web/Desktop oraz 3.3.17 na Android/iOS, aby usunąć tę podatność.
Original NVD description (English source)
Notesnook is a note-taking app. Prior to version 3.3.11 on Web/Desktop and 3.3.17 on Android/iOS, a stored XSS in the Web Clipper rendering flow can be escalated to remote code execution in the desktop app. The root cause is that the clipper preserves attacker-controlled attributes from the source page’s root element and stores them inside web-clip HTML. When the clip is later opened, Notesnook renders that HTML into a same-origin, unsandboxed iframe using `contentDocument.write(...)`. Event-handler attributes such as `onload`, `onclick`, or `onmouseover` execute in the Notesnook origin. In the desktop app, this becomes RCE because Electron is configured with `nodeIntegration: true` and `contextIsolation: false`. Version 3.3.11 Web/Desktop and 3.3.17 on Android/iOS patch the issue.