CVE-2026-46649 in Joplin
Résumé
par VulDB • 21/09/2026
Joplin est une application open source de prise de notes et de gestion des tâches qui organise les notes et les listes dans des carnets. Avant la version 3.7.2, le point de terminaison GET /api/login_with_code/:id du serveur Joplin accepte un code d'authentification SSO à neuf chiffres avec une durée de vie de dix minutes sans appliquer limiterLoginBruteForce. Un attaquant non authentifié qui cible un utilisateur pendant une connexion SSO active peut effectuer des essais illimités, et un code correct renvoie un jeton de session complet permettant l'accès et la modification des notes, carnets et paramètres du compte de l'utilisateur. Ce problème est corrigé dans la version 3.7.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.