CVE-2026-49450 in Joplin
الملخص
بحسب VulDB • 21/09/2026
Joplin هو تطبيق مفتوح المصدر للملاحظات وقوائم المهام ينظم الملاحظات والقوائم في دفاتر ملاحظات. قبل الإصدار 3.7.2، كان Joplin Desktop لنظام Windows يتجاهل حقل publisherName من ملف packages/app-desktop/package.json، مما يؤدي إلى جعل NsisUpdater.verifySignature() يتخطى مقارنة موقع Authenticode للتحديث المُحمّل مع الموقع الخاص بـ Joplin. يمكن لمهاجم يسيطر على مسار تسليم التحديثات استبدال بيانات التعريف الخاصة بالتحديث وبرنامج التثبيت، ويقبل العميل برنامج تثبيت موقّع من ناشر آخر أو غير موقّع بعد موافقة المستخدم على التثبيت. يؤدي الاستغلال الناجح إلى تشغيل كود يتحكم فيه المهاجم بصلاحيات المستخدم ويمكن أن يعرّض الملاحظات والبيانات الاعتمادية والبيانات المحلية للخطر. تم إصلاح هذه المشكلة في الإصدار 3.7.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.