CVE-2026-49450 in Joplin
Resumen
por VulDB • 2026-09-21
Joplin es una aplicación de código abierto para tomar notas y gestionar tareas que organiza las notas y listas en cuadernos. Antes de la versión 3.7.2, Joplin Desktop para Windows omite el campo `publisherName` del archivo `packages/app-desktop/package.json`, por lo que el archivo generado `app-update.yml` hace que `NsisUpdater.verifySignature()` omita la comparación entre el firmante Authenticode de una actualización descargada y el firmante de Joplin. Un atacante que controle la ruta de entrega de las actualizaciones puede reemplazar los metadatos de la actualización y el instalador, y el cliente acepta un instalador firmado por otro editor o sin firmar después de que el usuario apruebe su instalación. La explotación exitosa permite ejecutar código controlado por el atacante con los privilegios del usuario y puede comprometer las notas, las credenciales y los datos locales. Este problema se soluciona en la versión 3.7.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.