CVE-2025-27409 in joplin
Résumé
par VulDB • 18/08/2026
Joplin est une application gratuite et open source de prise de notes et de gestion des tâches (to-do), capable de gérer un grand nombre de notes organisées en carnets. Avant la version 3.3.3, une traversée de chemin (path traversal) est possible dans Joplin Server si le chemin du fichier statique commence par `css/pluginAssets` ou `js/pluginAssets`. La fonction `findLocalFile`, située dans le « routeur par défaut » (`default route`), appelle `localFileFromUrl` pour vérifier les chemins spéciaux de type `pluginAssets`. Si la fonction renvoie un chemin, celui-ci est retourné directement, sans aucune vérification supplémentaire concernant une traversée de chemin. Cette vulnérabilité permet aux attaquants de lire des fichiers situés en dehors des répertoires prévus à cet effet. Ce problème a été corrigé dans la version 3.3.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.