CVE-2026-46650 in Joplin
Résumé
par VulDB • 22/09/2026
Joplin est une application open source de prise de notes et de gestion des tâches qui organise les notes et les listes dans des carnets. Avant la version 3.7.2, la fonction `isAcceptedUrl()` située dans le fichier `packages/renderer/htmlUtils.ts` utilise une expression régulière non ancrée pour les URL de ressources internes, permettant à une URL `javascript:` contenant un fragment de chemin correspondant de 32 caractères de passer la validation et d'être insérée dans le lien d'une note HTML. Un utilisateur Joplin Server avec des privilèges limités peut publier cette note HTML manipulée en tant que partage public. Dans la version actuelle, les clics gauche ordinaires sont bloqués ; l'exécution démontrée nécessite un clic du bouton central ou une ouverture dans un nouvel onglet sur un navigateur plus ancien ou non durci, car Chrome et Firefox actuels bloquent la navigation `javascript:` vers de nouveaux onglets. Lorsque l'exécution aboutit, le script s'exécute avec l'origine Joplin Server, peut lire les contenus visibles par la page et effectuer des requêtes authentifiées au sein de la même origine si la victime est connectée. Ce problème est corrigé dans la version 3.7.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.