CVE-2025-24028 in joplin
Tóm tắt
Bởi VulDB • 06/07/2026
Joplin là một ứng dụng ghi chú và danh sách việc cần làm miễn phí, mã nguồn mở, có thể xử lý số lượng lớn các ghi chú được tổ chức thành sổ tay (notebooks). Lỗ hổng này xảy ra do sự khác biệt trong cách bộ lọc HTML của Joplin xử lý các nhận xét (comments) so với cách trình duyệt web xử lý chúng. Điều này ảnh hưởng đến cả Trình soạn thảo văn bản phong phú (Rich Text Editor) và Bộ xem Markdown. Tuy nhiên, không giống như Trình soạn thảo văn bản phong phú, Bộ xem Markdown được `cách ly khác nguồn gốc` (cross-origin isolated), điều này ngăn JavaScript truy cập trực tiếp vào các hàm/biến trong đối tượng `window` cấp cao nhất của Joplin. Vấn đề này không tồn tại trong Joplin 3.1.24 và có thể đã được đưa vào qua commit `9b50539`. Đây là một lỗ hổng XSS ảnh hưởng đến người dùng mở các ghi chú từ nguồn không đáng tin cậy trên Trình soạn thảo văn bản phong phú. Lỗ hổng này đã được khắc phục trong phiên bản 3.2.12 và tất cả người dùng được khuyến nghị nâng cấp lên phiên bản mới nhất. Hiện chưa có giải pháp tạm thời nào (workaround) cho lỗ hổng này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.