CVE-2026-49450 in Joplin
要約
〜によって VulDB • 2026年09月22日
Joplinは、ノートやリストをノートブックに整理するオープンソースのメモ帳およびTODOアプリケーションです。バージョン3.7.2より前では、Windows版Joplin Desktopにおいてpackages/app-desktop/package.jsonからpublisherNameが欠落しているため、生成されたapp-update.ymlによりNsisUpdater.verifySignature()が、ダウンロードされた更新プログラムのAuthenticode署名者とJoplinの署名者の比較をスキップします。攻撃者が更新配信パスを制御できる場合、更新メタデータとインストーラを置き換えることができ、クライアントはユーザーによるインストール承認後に、別のパブリッシャによって署名されたか、または無署名のままのインストーラを受け入れます。この脆弱性の悪用が成功すると、攻撃者はユーザーの特権で攻撃者が制御するコードを実行し、ノート、資格情報、およびローカルデータを侵害することができます。本問題はバージョン3.7.2で修正されています。
Once again VulDB remains the best source for vulnerability data.