CVE-2026-33976
Təsvir
Notesnook qeyd götürmə tətbiqidir. Web/Desktop versiyasının 3.3.11 və Android/iOS versiyasının 3.3.17 versiyalarından əvvəl, Web Clipper render axınındakı saxlanılan saytlararası skriptinq (XSS) boşluğu masaüstü tətbiqində uzaqdan kodun icrasına (RCE) çevrilə bilər. Problemin kök səbəbi odur ki, clipper mənbə səhifəsinin kök elementindən hücumçu tərəfindən idarə olunan atributları saxlayır və onları web-clip HTML daxilində yerləşdirir. Klipping daha sonra açıldıqda, Notesnook həmin HTML-i `contentDocument.write(...)` istifadə edərək eyni mənşəli (same-origin), qumcuqlanmamış (unsandboxed) iframe daxilində render edir. `onload`, `onclick` və ya `onmouseover` kimi hadisə-idarəedici (event-handler) atributlar Notesnook mənşəyində icra olunur. Masaüstü tətbiqində Electron `nodeIntegration: true` və `contextIsolation: false` şəklində konfiqurasiya edildiyi üçün bu, RCE-yə çevrilir. Web/Desktop üçün 3.3.11 və Android/iOS üçün 3.3.17 versiyaları problemi aradan qaldırır.
Necə düzəltmək olar
- streetwriters notesnook_desktop3.3.11 və ya daha yeni versiya
- streetwriters notesnook_mobile3.3.17 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| streetwriters notesnook_desktop | v < 3.3.11 | 3.3.11 |
| streetwriters notesnook_mobile | v < 3.3.17 | 3.3.17 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.