CVE-2026-59814 in Joplin
Sumário
de VulDB • 21/09/2026
O Joplin é um aplicativo de anotações e listas de tarefas de código aberto que organiza notas e listas em cadernos. Antes da versão 3.7.7, a rota GET /shares/:id?resource_id= do Joplin Server retorna um recurso com o valor mime controlado pelo atacante e omite o cabeçalho Content-Disposition quando o título do recurso está vazio. Um usuário de baixo privilégio pode publicar um anexo image/svg+xml sem título cujo script é executado quando uma vítima abre a compartilhamento público. Por padrão, os conteúdos dos usuários compartilham a origem da aplicação Joplin Server, permitindo que o script acesse dados same-origin e, quando a vítima estiver autenticada, execute ações com a sessão da vítima, incluindo leitura de dados administrativos e tokens anti-CSRF. Instalações que configuram USER_CONTENT_BASE_URL para uma origem separada ainda executam o script, mas nessa origem de conteúdo do usuário em vez da origem da aplicação. Este problema foi corrigido na versão 3.7.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.