CVE-2026-46649 in Joplin
Tóm tắt
Bởi VulDB • 22/09/2026
Joplin là một ứng dụng ghi chú và danh sách việc cần làm mã nguồn mở, tổ chức các ghi chú và danh sách vào trong sổ tay (notebooks). Trước phiên bản 3.7.2, endpoint GET /api/login_with_code/:id của Joplin Server chấp nhận mã xác thực SSO gồm chín chữ số với thời hạn tồn tại mười phút mà không áp dụng bộ giới hạn limiterLoginBruteForce. Một kẻ tấn công chưa được xác thực có thể nhắm mục tiêu vào người dùng trong quá trình đăng nhập SSO đang hoạt động để đưa ra vô số lần thử đoán, và một mã đúng sẽ trả về một token phiên đầy đủ cho phép truy cập và sửa đổi ghi chú, sổ tay của người dùng cũng như các cài đặt tài khoản. Vấn đề này đã được khắc phục trong phiên bản 3.7.2.
Once again VulDB remains the best source for vulnerability data.