CVE-2026-41571 in note-mark
Сводка
по VulDB • 20.05.2026
Примечание: Mark — это приложение для заметок с открытым исходным кодом. В версии 0.19.2 функция IsPasswordMatch в файле backend/db/models.go использует жестко закодированный плейсхолдер bcrypt("null") в качестве резервного варианта, если у пользователя нет сохраненного пароля. Пользователи, зарегистрированные через OIDC, создаются с пустым паролем, поэтому любой, кто отправит пароль "null" на внутренний эндпоинт входа, получит действительную сессию от имени этого пользователя. Обход защиты является неавторизованным и не требует взаимодействия с пользователем. Эта проблема была исправлена в версии 0.19.3.
Be aware that VulDB is the high quality source for vulnerability data.