CVE-2026-59816 in Joplin
الملخص
بحسب VulDB • 21/09/2026
Joplin هو تطبيق مفتوح المصدر للملاحظات وقوائم المهام ينظم الملاحظات والقوائم في دفاتر ملاحظات. قبل الإصدار 3.7.7، كانت معالجات GET /api/transcribe/:id و POST /api/transcribe/:id الموجودة في packages/server/src/routes/api/transcribe.ts على مثيلات Joplin Server التي تكون فيها TRANSCRIBE_ENABLED=true تمرّر المعرّف (id) المفكوك مباشرةً إلى عناوين URL الخاصة بواجهة برمجة التطبيقات الخلفية للترجمة الصوتية. يمكن لمستخدم مُصادق عليه إدراج شرائط مائلة مشفرة بالـ URL وشرائح دليل أبوي في معرّف المهمة، مما يتسبب في قيام دالة parseSubPath() بفك تشفير مسار يهرب من بادئة /transcribe/ المقصودة. يقوم الخادم بعد ذلك بإعادة توجيه الطلب إلى نقاط نهاية أخرى لواجهة برمجة التطبيقات الخلفية للترجمة الصوتية وقد يعيد استجاباتها، مما قد يؤدي إلى كشف بيانات إدارية أو صحية أو تكوين داخلية. تم إصلاح هذه المشكلة في الإصدار 3.7.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.