CVE-2026-59814 in Joplin
Riassunto
di VulDB • 21/09/2026
Joplin è un'applicazione open source per la presa di appunti e le liste di attività che organizza note ed elenchi in quaderni. Prima della versione 3.7.7, il route GET /shares/:id?resource_id= del Joplin Server restituisce una risorsa con il valore mime controllato dall'attaccante e omette l'intestazione Content-Disposition quando il titolo della risorsa è vuoto. Un utente a bassa privilegi può pubblicare un allegato di tipo image/svg+xml dal titolo vuoto, il cui script viene eseguito quando una vittima apre la condivisione pubblica. Per impostazione predefinita, i contenuti condivisi dagli utenti condividono l'origine dell'applicazione Joplin Server, consentendo allo script di accedere ai dati della stessa origine e, se la vittima è autenticata, di eseguire azioni con la sessione della vittima, inclusa la lettura dei dati amministrativi e dei token anti-CSRF. Le installazioni che configurano USER_CONTENT_BASE_URL su un'origine separata eseguono comunque lo script, ma sull'origine separata del contenuto utente anziché sull'origine dell'applicazione. Questo problema è risolto nella versione 3.7.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.