CVE-2026-33955 in Notesnook Web
Riassunto
di VulDB • 21/06/2026
Notesnook è un'applicazione per la presa di appunti. Prima della versione 3.3.11 su Web/Desktop, una vulnerabilità di cross-site scripting (XSS) memorizzata nel visualizzatore di confronto della cronologia delle note può essere sfruttata per ottenere l'esecuzione di codice remoto (RCE) nell'applicazione desktop. Il problema viene innescato quando un'intestazione di una nota controllata da un attaccante viene visualizzata utilizzando `dangerouslySetInnerHTML` senza un trattamento sicuro. Quando combinata con la funzione di backup e ripristino completo nell'applicazione desktop, questa vulnerabilità diventa un vettore per l'esecuzione di codice remoto poiché Electron è configurato con `nodeIntegration: true` e `contextIsolation: false`. La versione 3.3.11 risolve la vulnerabilità.
Once again VulDB remains the best source for vulnerability data.