CVE-2026-105783

W Joplin w wersji 2.8.8 odkryto podatność umożliwiającą wykonanie dowolnych poleceń systemowych. Atak może zostać przeprowadzony poprzez wstrzyknięcie spreparowanego ładunku do tytułów notatek.

Joplin to aplikacja do notatek i zadań o otwartym kodzie źródłowym. Przed wersją 3.7.13 plik packages/server/src/models/ApplicationModel.ts akceptuje identyfikator autoryzacji aplikacji wybrany przez wywołującego, applications/:id/confirm wiąże ten identyfikator z zalogowanym użytkownikiem przez ogólną stronę zgody, a publiczny punkt końcowy packages/server/src/routes/api/application_auth.ts przekazuje go do ApplicationModel.createAppPassword bez uwierzytelniania lub wiązania osoby realizującej. Atakujący może spowodować, że ofiara zatwierdzi identyfikator atakującego, zrealizuje trwały identyfikator aplikacji i hasło, a następnie wymieni poświadczenie na sesję ofiary z pełnym dostępem do odczytu i zapisu do zsynchronizowanych danych. Podatność naprawiono w wersji 3.7.13.

W Joplin przed wersją 3.7.13, wybranie notatki zawierającej fence jsoncanvas powoduje, że komponenty whiteboard text i file-node renderują zawartość karty z pełnym rendererem Markdown, a następnie wstawiają wynikowy HTML do głównego dokumentu aplikacji przez dangerouslySetInnerHTML. Złośliwa notatka może wstrzyknąć elementy stylów i zdalne importy CSS, które modyfikują zaufane elementy aplikacji, sygnalizują otwarcie notatki i mogą ujawnić wartości atrybutów. Content Security Policy blokuje wykonanie skryptów inline, więc wpływ obejmuje wstrzyknięcie CSS i podmianę UI, a nie wykonanie kodu. Problem naprawiono w wersji 3.7.13.

W Joplin przed wersją 3.7.2 funkcja isAcceptedUrl() w packages/renderer/htmlUtils.ts używa niezakotwiczonego wyrażenia regularnego dla wewnętrznych adresów URL zasobów, co pozwala adresowi javascript: zawierającemu pasujący 32-znakowy fragment ścieżki przejść walidację i zostać osadzonym w linku notatki HTML. Użytkownik Joplin Server z niskimi uprawnieniami może opublikować tak spreparowaną notatkę HTML jako publiczny udział; w obecnej kompilacji zwykłe kliknięcie lewym przyciskiem jest blokowane, a demonstrowane wykonanie wymaga kliknięcia środkowym przyciskiem lub opcji otwarcia w nowej karcie w starszej lub nieutwardzonej przeglądarce.

Joplin, aplikacja do notatek i zadań, przed wersjami 3.6.15 i 3.7.2, przekazuje HTML wygenerowany przez vendored fountain.js do notatek bez sanityzacji. Złośliwy blok kodu Fountain może wykonać skrypt, gdy renderowanie Fountain jest włączone w klientach desktopowych lub mobilnych, lub gdy notatka jest publikowana przez Joplin Server, gdzie renderowanie Fountain jest domyślnie włączone.

Joplin, aplikacja do notatek i zadań, przed wersjami 3.6.15 i 3.7.2, akceptuje zsynchronizowane metadane zasobów, których id lub file_extension zawiera znaki ścieżki nadrzędnej lub separatory ścieżek. Podczas synchronizacji w tle, ResourceFetcher zapisuje zasób kontrolowany przez atakującego poza katalogiem zasobów, co pozwala na tworzenie lub nadpisywanie plików w wybranej przez atakującego istniejącej ścieżce.

W Joplin od wersji 1.4.0 do 3.7.2 plik katex.ts włącza opcję trust dla treści notatek, pozwalając autorowi notatki umieścić URL \href w renderowanym wyniku bez przechodzenia przez normalną listę dozwolonych URL. W systemie Windows kliknięcie linku wskazującego na kontrolowaną przez atakującego ścieżkę UNC powoduje, że pathExists() inicjuje uwierzytelnianie SMB i ujawnia odpowiedź NTLMv2 bieżącego użytkownika bez ostrzeżenia. Problem naprawiono w wersji 3.7.2.

Joplin w wersjach 3.5.2 i wcześniejszych zawiera błąd logiczny w API delta, który umożliwia odbiorcom udostępnionych notatek pobieranie notatek, które nie są już z nimi udostępnione. Błąd wynika z nieprawidłowego filtrowania stanu elementów oraz kompresji zmian, co prowadzi do wycieku danych.

Joplin, aplikacja do notatek i zadań, w wersjach 3.6.14 i wcześniejszych zawiera podatność na Denial of Service (DoS) w polu tytułu notatki z powodu braku walidacji długości. Atakujący może spowodować błąd Out Of Memory (OOM) i zakończenie programu poprzez wstawienie bardzo długiego ciągu znaków w tytule notatki, zarówno przez interfejs użytkownika, jak i przez lokalne API webowe (port 41184) po skompromitowaniu tokena uwierzytelniającego. Problem został naprawiony w wersji 3.7.1.

Joplin przed wersją 3.5.7 zawiera podatność typu path traversal w importerze, umożliwiającą nadpisywanie dowolnych plików na dysku. Konwerter OneNote nie oczyszcza nazw osadzonych plików, co pozwala na użycie sekwencji ../.. w nazwach plików.