CVE-2026-34600
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Joplin w wersjach 3.5.2 i wcześniejszych zawiera błąd logiczny w API delta, który umożliwia odbiorcom udostępnionych notatek pobieranie notatek, które nie są już z nimi udostępnione. Błąd wynika z nieprawidłowego filtrowania stanu elementów oraz kompresji zmian, co prowadzi do wycieku danych.
Ocena ryzyka
Użytkownicy, którzy mieli wcześniej dostęp do notatek, mogą nadal pobierać ich pełną treść, co narusza poufność danych i może prowadzić do wycieku wrażliwych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Joplin do wersji 3.5.3 lub nowszej, która zawiera poprawkę.
Inne podatności w Joplin
Zobacz wszystkie- CVE-2022-35131Krytyczne
W Joplin w wersji 2.8.8 odkryto podatność umożliwiającą wykonanie dowolnych poleceń systemowych. Atak może zostać przeprowadzony poprzez wstrzyknięcie spreparowanego ładunku do tytułów notatek.
- CVE-2025-57798Średnie
Joplin, aplikacja do notatek i zadań, w wersjach 3.6.14 i wcześniejszych zawiera podatność na Denial of Service (DoS) w polu tytułu notatki z powodu braku walidacji długości. Atakujący może spowodować błąd Out Of Memory (OOM) i zakończenie programu poprzez wstawienie bardzo długiego ciągu znaków w tytule notatki, zarówno przez interfejs użytkownika, jak i przez lokalne API webowe (port 41184) po skompromitowaniu tokena uwierzytelniającego. Problem został naprawiony w wersji 3.7.1.
- CVE-2026-22810Wysokie
Joplin przed wersją 3.5.7 zawiera podatność typu path traversal w importerze, umożliwiającą nadpisywanie dowolnych plików na dysku. Konwerter OneNote nie oczyszcza nazw osadzonych plików, co pozwala na użycie sekwencji ../.. w nazwach plików.
- CVE-2023-37299Średnie
Joplin w wersjach przed 2.11.5 umożliwia atak XSS poprzez element AREA w mapie obrazów.
- CVE-2023-37298Średnie
Joplin w wersjach przed 2.11.5 umożliwia atak XSS poprzez element USE w dokumencie SVG.
Oryginalny opis (angielski, źródło NVD)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Versions 3.5.2 and prior contain a logic error in the delta API that allows share recipients to download notes that are no longer shared with them, related to but not fully fixed by the prior patch in #14289. In ChangeModel.delta, when DELTA_INCLUDES_ITEMS is enabled (the default), the latest state of items is attached to delta output without verifying that those items are still shared with the requesting user, and the existing removal logic only filters items deleted for all users. Additionally, the change compression logic incorrectly reduces create - delete to NOOP, which is unsafe because compression is applied per page and an item can have multiple create events; if an earlier create falls on a separate page from a later create -> delete pair, the deletion is dropped and the sequence collapses to a create. As a result, the delta API returns a create event for a deleted item with the full latest content attached, exposing notes the user no longer has access to. This issue has been fixed in version 3.5.3.