CVE-2026-49449
NiskieCVSS 2.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W Joplin od wersji 1.4.0 do 3.7.2 plik katex.ts włącza opcję trust dla treści notatek, pozwalając autorowi notatki umieścić URL \href w renderowanym wyniku bez przechodzenia przez normalną listę dozwolonych URL. W systemie Windows kliknięcie linku wskazującego na kontrolowaną przez atakującego ścieżkę UNC powoduje, że pathExists() inicjuje uwierzytelnianie SMB i ujawnia odpowiedź NTLMv2 bieżącego użytkownika bez ostrzeżenia. Problem naprawiono w wersji 3.7.2.
Ocena ryzyka
Atakujący może uzyskać hash NTLMv2 ofiary, co umożliwia ataki typu relay lub łamanie hasła. Może to prowadzić do przejęcia konta i eskalacji uprawnień w sieci Windows.
Rekomendacja
Zaktualizuj Joplin do wersji 3.7.2 lub nowszej. Dodatkowo rozważ wyłączenie uwierzytelniania NTLM wychodzącego lub ograniczenie ruchu SMB w sieci.
Inne podatności w Joplin
Zobacz wszystkie- CVE-2022-35131Krytyczne
W Joplin w wersji 2.8.8 odkryto podatność umożliwiającą wykonanie dowolnych poleceń systemowych. Atak może zostać przeprowadzony poprzez wstrzyknięcie spreparowanego ładunku do tytułów notatek.
- CVE-2026-46650Średnie
W Joplin przed wersją 3.7.2 funkcja isAcceptedUrl() w packages/renderer/htmlUtils.ts używa niezakotwiczonego wyrażenia regularnego dla wewnętrznych adresów URL zasobów, co pozwala adresowi javascript: zawierającemu pasujący 32-znakowy fragment ścieżki przejść walidację i zostać osadzonym w linku notatki HTML. Użytkownik Joplin Server z niskimi uprawnieniami może opublikować tak spreparowaną notatkę HTML jako publiczny udział; w obecnej kompilacji zwykłe kliknięcie lewym przyciskiem jest blokowane, a demonstrowane wykonanie wymaga kliknięcia środkowym przyciskiem lub opcji otwarcia w nowej karcie w starszej lub nieutwardzonej przeglądarce.
- CVE-2026-55105Wysokie
Joplin, aplikacja do notatek i zadań, przed wersjami 3.6.15 i 3.7.2, przekazuje HTML wygenerowany przez vendored fountain.js do notatek bez sanityzacji. Złośliwy blok kodu Fountain może wykonać skrypt, gdy renderowanie Fountain jest włączone w klientach desktopowych lub mobilnych, lub gdy notatka jest publikowana przez Joplin Server, gdzie renderowanie Fountain jest domyślnie włączone.
- CVE-2026-49453Wysokie
Joplin, aplikacja do notatek i zadań, przed wersjami 3.6.15 i 3.7.2, akceptuje zsynchronizowane metadane zasobów, których id lub file_extension zawiera znaki ścieżki nadrzędnej lub separatory ścieżek. Podczas synchronizacji w tle, ResourceFetcher zapisuje zasób kontrolowany przez atakującego poza katalogiem zasobów, co pozwala na tworzenie lub nadpisywanie plików w wybranej przez atakującego istniejącej ścieżce.
- CVE-2026-34600Średnie
Joplin w wersjach 3.5.2 i wcześniejszych zawiera błąd logiczny w API delta, który umożliwia odbiorcom udostępnionych notatek pobieranie notatek, które nie są już z nimi udostępnione. Błąd wynika z nieprawidłowego filtrowania stanu elementów oraz kompresji zmian, co prowadzi do wycieku danych.
- CVE-2025-57798Średnie
Joplin, aplikacja do notatek i zadań, w wersjach 3.6.14 i wcześniejszych zawiera podatność na Denial of Service (DoS) w polu tytułu notatki z powodu braku walidacji długości. Atakujący może spowodować błąd Out Of Memory (OOM) i zakończenie programu poprzez wstawienie bardzo długiego ciągu znaków w tytule notatki, zarówno przez interfejs użytkownika, jak i przez lokalne API webowe (port 41184) po skompromitowaniu tokena uwierzytelniającego. Problem został naprawiony w wersji 3.7.1.
- CVE-2026-22810Wysokie
Joplin przed wersją 3.5.7 zawiera podatność typu path traversal w importerze, umożliwiającą nadpisywanie dowolnych plików na dysku. Konwerter OneNote nie oczyszcza nazw osadzonych plików, co pozwala na użycie sekwencji ../.. w nazwach plików.
- CVE-2023-37299Średnie
Joplin w wersjach przed 2.11.5 umożliwia atak XSS poprzez element AREA w mapie obrazów.
- CVE-2023-37298Średnie
Joplin w wersjach przed 2.11.5 umożliwia atak XSS poprzez element USE w dokumencie SVG.
Oryginalny opis (angielski, źródło NVD)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. From 1.4.0 until 3.7.2, packages/renderer/MdToHtml/rules/katex.ts enables KaTeX's trust option for note content, allowing a note author to place a \href URL into rendered output without passing Joplin's normal URL allowlist. On Windows, clicking a link whose target is an attacker-controlled UNC path causes pathExists() to initiate SMB authentication and disclose the current user's NTLMv2 challenge-response without a warning. The unfiltered URL can also invoke other registered URL handlers, but the credential disclosure through KaTeX \href is the distinguishing demonstrated impact. This issue is fixed in version 3.7.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS