CVE-2026-59814

Joplin, qeydləri və siyahıları dəftər şəklində təşkil edən açıq mənbəli qeyd götürmə və tapşırıq tətbiqidir. Versiya 3.7.7-yə qədər, Joplin Server-in GET /shares/:id?resource_id= marşrutu, resurs başlığı boş olduqda, hücumkeş tərəfindən idarə olunan mime dəyəri ilə resursu təqdim edir və Content-Disposition hissəsini buraxır. Aşağı səlahiyyətli istifadəçi, qurban ictimai paylaşımı açdıqda skripti işə salan, boş başlıqlı image/svg+xml qoşmasını paylaşa bilər. Defolt olaraq, istifadəçi kontenti Joplin Server tətbiqinin mənşəyi (origin) ilə eyni olur ki, bu da skriptə eyni mənşəli məlumatlara daxil olmağa və qurban autentifikasiya olunduqda onun sessiyası ilə hərəkətlər etməyə, o cümlədən inzibati məlumatları və anti-CSRF tokenlərini oxumağa imkan verir. USER_CONTENT_BASE_URL parametrini ayrı bir mənşəyə konfiqurasiya edən quraşdırmalarda skript yenə də işə düşür, lakin tətbiqin mənşəyində deyil, həmin ayrıca istifadəçi-kontent mənşəyində icra olunur. Bu problem 3.7.7 versiyasında düzəldilmişdir.