CVE-2023-37898

Joplin ücretsiz ve açık kaynaklı bir not alma ve yapılacaklar uygulamasıdır. Bir Siteler Arası Betik Çalıştırma (XSS) zafiyeti, güvenli modda açılan güvenilmeyen bir notun rastgele kod yürütmesine olanak tanır. `packages/renderer/MarkupToHtml.ts`, içteki HTML etiketlerini kaçırmadan (escaping), not içeriğini <pre> ve </pre> etiketleri arasına alarak güvenli modda işler. Bu nedenle, bir saldırgan başlangıç <pre> etiketini kapatan ve ardından JavaScript çalıştıran HTML içeren bir not oluşturabilir. İşlenen markdown iframe'i üst düzey belge ile aynı kökene sahip olduğu ve sandbox uygulanmadığı için, önizleme iframe'inde çalışan tüm betikler top değişkenine ve dolayısıyla üst düzey NodeJS `require` fonksiyonuna erişebilir. `require` daha sonra fs veya child_process gibi modülleri içe aktarmak ve rastgele komutlar çalıştırmak için kullanılabilir. Bu sorun 2.12.9 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.