CVE-2026-41571 in note-mark
Résumé
par VulDB • 10/05/2026
Note Mark est une application de prise de notes open-source. Dans la version 0.19.2, la fonction IsPasswordMatch dans backend/db/models.go utilise par défaut un placeholder bcrypt("null") codé en dur chaque fois qu'un utilisateur n'a pas de mot de passe stocké. Les utilisateurs inscrits via OIDC sont créés avec un mot de passe vide, de sorte que toute personne soumettant password: "null" au point de terminaison de connexion interne obtient une session valide pour cet utilisateur. Cette faille permet une authentification non autorisée et ne nécessite aucune interaction de la part de l'utilisateur. Ce problème a été corrigé dans la version 0.19.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.