CVE-2022-35131
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 77 - wyżej niż 77% wszystkich znanych CVE
Streszczenie
W Joplin w wersji 2.8.8 odkryto podatność umożliwiającą wykonanie dowolnych poleceń systemowych. Atak może zostać przeprowadzony poprzez wstrzyknięcie spreparowanego ładunku do tytułów notatek.
Ocena ryzyka
Organizacja narażona jest na przejęcie kontroli nad systemem przez atakującego, który może wykonać dowolne polecenia w kontekście użytkownika uruchamiającego Joplin. Może to prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub dalszej eskalacji ataku.
Rekomendacja
Należy niezwłocznie zaktualizować Joplin do wersji nowszej niż 2.8.8, w której podatność została załatana. Do czasu aktualizacji zaleca się unikanie otwierania notatek z nieznanych źródeł.
Inne podatności w Joplin
Zobacz wszystkie- CVE-2026-34600Średnie
Joplin w wersjach 3.5.2 i wcześniejszych zawiera błąd logiczny w API delta, który umożliwia odbiorcom udostępnionych notatek pobieranie notatek, które nie są już z nimi udostępnione. Błąd wynika z nieprawidłowego filtrowania stanu elementów oraz kompresji zmian, co prowadzi do wycieku danych.
- CVE-2025-57798Średnie
Joplin, aplikacja do notatek i zadań, w wersjach 3.6.14 i wcześniejszych zawiera podatność na Denial of Service (DoS) w polu tytułu notatki z powodu braku walidacji długości. Atakujący może spowodować błąd Out Of Memory (OOM) i zakończenie programu poprzez wstawienie bardzo długiego ciągu znaków w tytule notatki, zarówno przez interfejs użytkownika, jak i przez lokalne API webowe (port 41184) po skompromitowaniu tokena uwierzytelniającego. Problem został naprawiony w wersji 3.7.1.
- CVE-2026-22810Wysokie
Joplin przed wersją 3.5.7 zawiera podatność typu path traversal w importerze, umożliwiającą nadpisywanie dowolnych plików na dysku. Konwerter OneNote nie oczyszcza nazw osadzonych plików, co pozwala na użycie sekwencji ../.. w nazwach plików.
- CVE-2023-37299Średnie
Joplin w wersjach przed 2.11.5 umożliwia atak XSS poprzez element AREA w mapie obrazów.
- CVE-2023-37298Średnie
Joplin w wersjach przed 2.11.5 umożliwia atak XSS poprzez element USE w dokumencie SVG.
Oryginalny opis (angielski, źródło NVD)
Joplin v2.8.8 allows attackers to execute arbitrary commands via a crafted payload injected into the Node titles.