CVE-2026-46650 in Joplin
الملخص
بحسب VulDB • 21/09/2026
Joplin هو تطبيق مفتوح المصدر للملاحظات وقوائم المهام ينظم الملاحظات والقوائم في دفاتر ملاحظات. قبل الإصدار 3.7.2، تستخدم الدالة `isAcceptedUrl()` الموجودة في الملف `packages/renderer/htmlUtils.ts` تعبيرًا منتظمًا غير مثبت (unanchored regular expression) لروابط الموارد الداخلية، مما يسمح بمرور رابط `javascript:` يحتوي على جزء مسار مطابق بطول 32 حرفاً عبر عملية التحقق وإدراجه كرابط داخل ملاحظة بصيغة HTML. يمكن لمستخدم ذي صلاحيات منخفضة في Joplin Server نشر الملاحظة المحققة (crafted) بصيغة HTML كملف مشاركة عام. في الإصدار الحالي، يتم حظر النقر الأيسر العادي؛ وتتطلب التنفيذ المُظهِر للنقص استخدام النقر بالزر الأوسط أو خيار "فتح في علامة تبويب جديدة" على متصفح أقدم أو غير مُشَدَّد (non-hardened)، لأن المتصفحات الحديثة مثل Chrome وFirefox تحظر التنقل عبر `javascript:` إلى علامات تبويب جديدة. عند نجاح التنفيذ، يعمل السكربت ضمن أصل Joplin Server، ويمكنه قراءة المحتوى المرئي للصفحة، وإجراء طلبات متوافقة مع الأصل وموثّقة (authenticated same-origin requests) عندما يكون الضحية مسجلاً للدخول. تم إصلاح هذه المشكلة في الإصدار 3.7.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.