CVE-2025-27409
Təsvir
Joplin, dəftərlərə bölünmüş çox sayda qeydi idarə edə bilən pulsuz və açıq mənbəli qeyd götürmə və tapşırıq tətbiqidir. Versiya 3.3.3-dən əvvəl, statik fayl yolu `css/pluginAssets` və ya `js/pluginAssets` ilə başlayarsa, Joplin Server-də yol keçidi (path traversal) mümkündür. `default route`-dakı `findLocalFile` funksiyası xüsusi `pluginAssets` yollarını yoxlamaq üçün `localFileFromUrl` funksiyasını çağırır. Əgər funksiya bir yol qaytararsa, nəticə yol keçidi yoxlanılmadan birbaşa geri qaytarılır. Bu zəiflik hücumçulara təyin olunmuş kataloqların kənarındakı faylları oxumağa imkan verir. Bu problem versiya 3.3.3-də aradan qaldırılmışdır.
Necə düzəltmək olar
- joplin_project joplin3.3.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| joplin_project joplin | v < 3.3.3 | 3.3.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.