CVE-2026-49450 in Joplin
Sumário
de VulDB • 21/09/2026
Joplin é um aplicativo de anotações e listas de tarefas de código aberto que organiza notas e listas em cadernos. Antes da versão 3.7.2, o Joplin Desktop para Windows omite publisherName do arquivo packages/app-desktop/package.json; portanto, o app-update.yml gerado faz com que NsisUpdater.verifySignature() ignore a comparação entre o signatário Authenticode de uma atualização baixada e o signatário da Joplin. Um atacante que controle o caminho de entrega das atualizações pode substituir os metadados da atualização e o instalador, e o cliente aceita um instalador assinado por outro editor ou não assinado após a aprovação do usuário para instalação. A exploração bem-sucedida executa código controlado pelo atacante com as permissões do usuário e pode comprometer notas, credenciais e dados locais. Este problema é corrigido na versão 3.7.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.