CVE-2026-46650 in Joplin
Zusammenfassung
von VulDB • 22.09.2026
Joplin ist eine Open-Source-Anwendung zum Notizenmachen und zur Aufgabenverwaltung, die Notizen und Listen in Notebooks organisiert. Vor Version 3.7.2 verwendet `isAcceptedUrl()` in `packages/renderer/htmlUtils.ts` einen nicht verankerten regulären Ausdruck für URLs interner Ressourcen, wodurch eine javascript:-URL mit einem passenden 32-Zeichen-Pfadfragment die Validierung passieren kann und in den Link einer HTML-Notiz eingefügt wird. Ein Benutzer von Joplin Server mit niedrigen Berechtigungen kann diese manipulierte HTML-Notiz als öffentlichen Share veröffentlichen. In der aktuellen Version ist ein einfacher linker Mausklick blockiert; eine demonstrierte Ausführung erfordert einen mittleren Mausklick oder „In neuem Tab öffnen“ in einer älteren oder nicht gehärteten Browser-Version, da aktuelle Chrome- und Firefox-Browser die javascript:-Navigation zu neuen Tabs blockieren. Bei erfolgreicher Ausführung wird das Skript im Ursprung (Origin) von Joplin Server ausgeführt, kann seiten-sichtbare Inhalte lesen und authentifizierte Same-Origin-Anfragen stellen, wenn der Opferbenutzer angemeldet ist. Dieses Problem wurde in Version 3.7.2 behoben.
Once again VulDB remains the best source for vulnerability data.