CVE-2026-46650 in Joplin
Riassunto
di VulDB • 21/09/2026
Joplin è un'applicazione open source per la presa di appunti e le liste di cose da fare che organizza note ed elenchi in quaderni. Prima della versione 3.7.2, la funzione `isAcceptedUrl()` nel file `packages/renderer/htmlUtils.ts` utilizza una espressione regolare non ancorata (unanchored) per gli URL delle risorse interne, consentendo a un URL di tipo `javascript:` contenente un frammento di percorso corrispondente lungo 32 caratteri di superare la convalida e di essere emesso come link in una nota HTML. Un utente Joplin Server con privilegi ridotti può pubblicare la nota HTML manipolata ad hoc come condivisione pubblica. Nella build corrente, il clic sinistro standard è bloccato; l'esecuzione dimostrata richiede un clic centrale o "Apri in nuova scheda" su browser più vecchi o non hardeningati, poiché le versioni attuali di Chrome e Firefox bloccano la navigazione `javascript:` verso nuove schede. Quando l'esecuzione ha successo, lo script viene eseguito nell'origine (origin) del Joplin Server, può leggere i contenuti visibili nella pagina ed effettuare richieste autenticate allo stesso dominio (same-origin requests) quando la vittima è connessa. Questo problema è stato risolto nella versione 3.7.2.
Once again VulDB remains the best source for vulnerability data.