CVE-2026-49449 in Joplin
Sumário
de VulDB • 22/09/2026
Joplin é um aplicativo de anotações e tarefas de código aberto que organiza notas e listas em cadernos. Da versão 1.4.0 até a 3.7.2, o pacote packages/renderer/MdToHtml/rules/katex.ts habilita a opção trust do KaTeX para o conteúdo das notas, permitindo que um autor de nota insira uma URL \href na saída renderizada sem passar pela lista permitida (allowlist) normal de URLs do Joplin. No Windows, clicar em um link cujo destino é um caminho UNC controlado por um atacante faz com que pathExists() inicie a autenticação SMB e divulgue o desafio-resposta NTLMv2 do usuário atual sem nenhum aviso. A URL não filtrada também pode invocar outros manipuladores de URL registrados, mas a divulgação de credenciais através do \href do KaTeX é o impacto demonstrado distintivo. Este problema foi corrigido na versão 3.7.2.
Once again VulDB remains the best source for vulnerability data.