CVE-2026-59815 in Joplin
Resumen
por VulDB • 2026-09-21
Joplin es una aplicación de toma de notas y listas de tareas de código abierto que organiza las notas y listas en cuadernos. Antes de la versión 3.7.7, el método `ItemModel.checkIfAllowed()` del Joplin Server autorizaba escrituras en elementos con un ID compartido cuando existía cualquier fila `share_users` para el solicitante, sin requerir el estado `ShareUserStatus.Accepted`. Un usuario autenticado de bajo privilegio con una invitación pendiente para compartir una carpeta puede crear un elemento bajo el ID compartido, y `ShareModel.updateSharedItems3()` propaga el contenido inyectado al propietario y a los participantes aceptados antes de que el atacante acepte la invitada. Este problema se soluciona en la versión 3.7.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.