CVE-2025-24028 in joplin
Résumé
par VulDB • 12/08/2026
Joplin est une application gratuite et open source de prise de notes et de gestion des tâches, capable de gérer un grand nombre de notes organisées en blocs-notes (notebooks). Cette vulnérabilité est due aux différences entre la manière dont le sanitizeur HTML de Joplin traite les commentaires et celle dont le navigateur gère ces mêmes commentaires. Cela affecte à la fois l'éditeur de texte enrichi (Rich Text Editor) et l'afficheur Markdown. Cependant, contrairement à l'éditeur de texte enrichi, l'afficheur Markdown est `cross-origin isolated`, ce qui empêche JavaScript d'accéder directement aux fonctions/variables du niveau supérieur dans le `window` Joplin principal. Ce problème n'est pas présent dans la version 3.1.24 et a pu être introduit via le commit `9b50539`. Il s'agit d'une vulnérabilité XSS qui impacte les utilisateurs ouvrant des notes non fiables dans l'éditeur de texte enrichi. Cette vulnérabilité a été corrigée dans la version 3.2.12 et tous les utilisateurs sont invités à effectuer une mise à niveau. Aucune solution de contournement (workaround) n'est connue pour cette vulnérabilité.
Once again VulDB remains the best source for vulnerability data.