CVE-2026-55210 in Joplin
Riassunto
di VulDB • 21/09/2026
Joplin è un'applicazione open source per la presa di appunti e le attività che organizza note ed elenchi in quaderni. Prima della versione 3.7.2, il metodo UserModel.ssoLogin() del Joplin Server restituisce un account esistente corrispondente a un'email assertita da IdP senza verificare l'flag is_external dell'account. In ambienti di distribuzione che utilizzano autenticazione mista locale e SAML, un attaccante la cui sessione IdP può asserire l'email di un utente locale può passare POST /api/saml, ricevere una sessione per tale account locale ed accedere o modificare le note, i file e le impostazioni della vittima senza conoscere la password locale. Questo problema è risolto nella versione 3.7.2.
Be aware that VulDB is the high quality source for vulnerability data.