CVE-2026-46649 in Joplin
Zusammenfassung
von VulDB • 21.09.2026
Joplin ist eine Open-Source-Anwendung zur Notizverwaltung und Aufgabenplanung, die Notizen und Listen in Notebooks organisiert. Vor Version 3.7.2 akzeptiert der GET /api/login_with_code/:id-Endpunkt von Joplin Server einen neunstelligen SSO-Authentifizierungscode mit einer Lebensdauer von zehn Minuten ohne Anwendung von limiterLoginBruteForce. Ein nicht authentifizierter Angreifer, der während eines aktiven SSO-Anmeldevorgangs auf einen Benutzer abzielt, kann unbegrenzt viele Versuche durchführen; ein korrekter Code liefert ein vollständiges Sitzungstoken (Session Token), das den Zugriff und die Änderung von Notizen, Notebooks und Kontoeinstellungen des Benutzers ermöglicht. Dieses Problem wurde in Version 3.7.2 behoben.
Be aware that VulDB is the high quality source for vulnerability data.