CVE-2026-105786

W Joplin w wersji 2.8.8 odkryto podatność umożliwiającą wykonanie dowolnych poleceń systemowych. Atak może zostać przeprowadzony poprzez wstrzyknięcie spreparowanego ładunku do tytułów notatek.

W Joplin przed wersją 3.7.13, wybranie notatki zawierającej fence jsoncanvas powoduje, że komponenty whiteboard text i file-node renderują zawartość karty z pełnym rendererem Markdown, a następnie wstawiają wynikowy HTML do głównego dokumentu aplikacji przez dangerouslySetInnerHTML. Złośliwa notatka może wstrzyknąć elementy stylów i zdalne importy CSS, które modyfikują zaufane elementy aplikacji, sygnalizują otwarcie notatki i mogą ujawnić wartości atrybutów. Content Security Policy blokuje wykonanie skryptów inline, więc wpływ obejmuje wstrzyknięcie CSS i podmianę UI, a nie wykonanie kodu. Problem naprawiono w wersji 3.7.13.

Joplin to aplikacja do notatek i zadań o otwartym kodzie źródłowym. Przed wersją 3.7.13, gdy Joplin Desktop działa z opcjonalnym serwerem Web Clipper, serwer w packages/lib/ClipperServer.ts wysyła Access-Control-Allow-Origin: * i pozwala dowolnej stronie internetowej na wywołanie POST /auth i GET /auth/check, ponieważ punkty parowania nie odrzucają źródeł HTTP ani HTTPS. Okno dialogowe potwierdzenia na pulpicie nie identyfikuje źródła żądania, więc ofiara, która zatwierdzi ogólny monit, autoryzuje atakującą stronę, która następnie otrzymuje stały token API. Token zapewnia ciągły dostęp do odczytu i zapisu do notatek, folderów, tagów, zasobów i kluczy głównych. Problem naprawiono w wersji 3.7.13.

W Joplin przed wersją 3.7.2 funkcja isAcceptedUrl() w packages/renderer/htmlUtils.ts używa niezakotwiczonego wyrażenia regularnego dla wewnętrznych adresów URL zasobów, co pozwala adresowi javascript: zawierającemu pasujący 32-znakowy fragment ścieżki przejść walidację i zostać osadzonym w linku notatki HTML. Użytkownik Joplin Server z niskimi uprawnieniami może opublikować tak spreparowaną notatkę HTML jako publiczny udział; w obecnej kompilacji zwykłe kliknięcie lewym przyciskiem jest blokowane, a demonstrowane wykonanie wymaga kliknięcia środkowym przyciskiem lub opcji otwarcia w nowej karcie w starszej lub nieutwardzonej przeglądarce.

Joplin, aplikacja do notatek i zadań, przed wersjami 3.6.15 i 3.7.2, przekazuje HTML wygenerowany przez vendored fountain.js do notatek bez sanityzacji. Złośliwy blok kodu Fountain może wykonać skrypt, gdy renderowanie Fountain jest włączone w klientach desktopowych lub mobilnych, lub gdy notatka jest publikowana przez Joplin Server, gdzie renderowanie Fountain jest domyślnie włączone.

Joplin, aplikacja do notatek i zadań, przed wersjami 3.6.15 i 3.7.2, akceptuje zsynchronizowane metadane zasobów, których id lub file_extension zawiera znaki ścieżki nadrzędnej lub separatory ścieżek. Podczas synchronizacji w tle, ResourceFetcher zapisuje zasób kontrolowany przez atakującego poza katalogiem zasobów, co pozwala na tworzenie lub nadpisywanie plików w wybranej przez atakującego istniejącej ścieżce.

W Joplin od wersji 1.4.0 do 3.7.2 plik katex.ts włącza opcję trust dla treści notatek, pozwalając autorowi notatki umieścić URL \href w renderowanym wyniku bez przechodzenia przez normalną listę dozwolonych URL. W systemie Windows kliknięcie linku wskazującego na kontrolowaną przez atakującego ścieżkę UNC powoduje, że pathExists() inicjuje uwierzytelnianie SMB i ujawnia odpowiedź NTLMv2 bieżącego użytkownika bez ostrzeżenia. Problem naprawiono w wersji 3.7.2.

Joplin w wersjach 3.5.2 i wcześniejszych zawiera błąd logiczny w API delta, który umożliwia odbiorcom udostępnionych notatek pobieranie notatek, które nie są już z nimi udostępnione. Błąd wynika z nieprawidłowego filtrowania stanu elementów oraz kompresji zmian, co prowadzi do wycieku danych.

Joplin, aplikacja do notatek i zadań, w wersjach 3.6.14 i wcześniejszych zawiera podatność na Denial of Service (DoS) w polu tytułu notatki z powodu braku walidacji długości. Atakujący może spowodować błąd Out Of Memory (OOM) i zakończenie programu poprzez wstawienie bardzo długiego ciągu znaków w tytule notatki, zarówno przez interfejs użytkownika, jak i przez lokalne API webowe (port 41184) po skompromitowaniu tokena uwierzytelniającego. Problem został naprawiony w wersji 3.7.1.

Joplin przed wersją 3.5.7 zawiera podatność typu path traversal w importerze, umożliwiającą nadpisywanie dowolnych plików na dysku. Konwerter OneNote nie oczyszcza nazw osadzonych plików, co pozwala na użycie sekwencji ../.. w nazwach plików.