CVE-2026-105784
Təsvir
Joplin qeydləri və tapşırıq siyahılarını dəftər şəklində təşkil edən açıq mənbəli qeyd götürmə tətbiqidir. 3.7.13 versiyasından əvvəl, jsoncanvas çəpəri olan qeydin seçilməsi packages/app-desktop/gui/NoteEditor/NoteBody/WhiteboardEditor/nodes/TextNode.tsx və packages/app-desktop/gui/NoteEditor/NoteBody/WhiteboardEditor/nodes/FileNode.tsx fayllarındakı ağ lövhə mətni və fayl-düyün komponentlərinin kart məzmununu tam Markdown rendereri ilə göstərməsinə səbəb olur. Komponentlər nəticədə alınan HTML-i dangerouslySetInnerHTML vasitəsilə əsas tətbiq sənədinə daxil edir. Zərərli qeyd etibarlı tətbiq interfeysini dəyişdirən, qeyd açıldıqda siqnal göndərən və potensial olaraq açıq atribut dəyərlərini ifşa edən stil elementləri və uzaq CSS importları inyeksiya edə bilər. Məzmun Təhlükəsizlik Siyasəti (CSP) sətiriçi skriptlərin icrasını blokladığı üçün, dəstəklənən təsir kodun icrası deyil, CSS inyeksiyası və UI redressing-dir. Bu problem 3.7.13 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| laurent22 joplin | < 3.7.13 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.