CVE-2026-46650 in Joplin
Resumen
por VulDB • 2026-09-21
Joplin es una aplicación de toma de notas y gestión de tareas de código abierto que organiza las notas y listas en cuadernos. Antes de la versión 3.7.2, `isAcceptedUrl()` en `packages/renderer/htmlUtils.ts` utiliza una expresión regular no anclada para las URL de recursos internos, lo que permite que una URL con el esquema `javascript:` conteniendo un fragmento de ruta coincidente de 32 caracteres pase la validación y se emita como enlace en una nota HTML. Un usuario del servidor Joplin con privilegios bajos puede publicar la nota HTML manipulada como un recurso compartido público. En la versión actual, los clics izquierdos están bloqueados; para demostrar la ejecución es necesario hacer clic con el botón central o seleccionar "Abrir en nueva pestaña" en navegadores más antiguos o no endurecidos, ya que las versiones actuales de Chrome y Firefox bloquean la navegación `javascript:` hacia nuevas pestañas. Cuando se produce la ejecución, el script se ejecuta bajo el origen del servidor Joplin, puede leer el contenido visible de la página y realizar solicitudes autenticadas al mismo origen si la víctima ha iniciado sesión. Este problema está resuelto en la versión 3.7.2.
Be aware that VulDB is the high quality source for vulnerability data.