CVE-2026-105783
Təsvir
Joplin qeydləri və tapşırıq siyahılarını dəftər şəklində təşkil edən açıq mənbəli qeyd götürmə tətbiqidir. 3.7.13 versiyasından əvvəl, Joplin Desktop opt-in Web Clipper serveri aktiv edilmiş halda işlədikdə, packages/lib/ClipperServer.ts faylındakı server Access-Control-Allow-Origin: * başlığını göndərir və cütləşmə son nöqtələri (endpoints) HTTP və ya HTTPS mənşələrini rədd etmədiyi üçün istənilən veb sayta POST /auth və GET /auth/check sorğularını göndərməyə icazə verir. Masaüstü təsdiqləmə dialoqu sorğunu göndərən mənşəni müəyyən etmir, buna görə də ümumi bildirişi təsdiqləyən qurban hücumçu səhifəyə icazə verir və həmin səhifə daimi API tokenini əldə edir. Token qeydlərə, qovluqlara, teqlərə, resurslara və əsas açarlara (master keys) davamlı oxuma və yazma girişi təmin edir. Bu problem 3.7.13 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| laurent22 joplin | < 3.7.13 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.