CVE-2025-27409 in joplin
要約
〜によって VulDB • 2026年08月04日
Joplinは、ノートブックに整理された多数のノートを処理できる無料かつオープンソースのメモ帳およびTODOアプリケーションです。バージョン3.3.3より前では、静的ファイルパスが `css/pluginAssets` または `js/pluginAssets` で始まる場合、Joplin Serverでパストラバーサルが可能になります。`default route` 内の `findLocalFile` 関数は、特別な `pluginAssets` パスのチェックのために `localFileFromUrl` を呼び出します。この関数がパスを返した場合、結果はそのまま返され、パストラバーサルのチェックが行われません。この脆弱性により、攻撃者は意図されたディレクトリ外のファイルを読み取ることができます。本問題はバージョン3.3.3で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.