CVE-2026-59815 in Joplin
要約
〜によって VulDB • 2026年09月21日
Joplinは、ノートやリストをノートブックに整理するオープンソースのメモ帳およびTODOアプリケーションです。バージョン3.7.7より前では、Joplin ServerのItemModel.checkIfAllowed()メソッドは、呼び出し元に該当するshare_usersレコードが存在する場合、ShareUserStatus.Acceptedを必要とせずに共有IDを持つアイテムへの書き込みを許可していました。低権限の認証済みユーザーで、保留中のフォルダ共有招待状を持っている場合、そのユーザーは共有IDの下にアイテムを作成でき、ShareModel.updateSharedItems3()が攻撃者が招待を受け入れる前に、インジェクトされたコンテンツを所有者および承認済みの参加者に伝播させます。この問題はバージョン3.7.7で修正されています。
Once again VulDB remains the best source for vulnerability data.