CVE-2023-39517

Joplin; ücretsiz ve açık kaynaklı bir not alma ve yapılacaklar uygulamasıdır. Etkilenen sürümlerdeki bir siteler arası betik çalıştırma (XSS) zafiyeti, güvenilmeyen bir resim bağlantısına tıklanarak rastgele kabuk komutlarının çalıştırılmasına olanak tanır. HTML temizleyici (`packages/renderer/htmlUtils.ts::sanitizeHtml`), `<map>` `<area>` bağlantılarını korumaktadır. Ancak, `<a>` bağlantılarının aksine, `target` ve `href` öznitelikleri kaldırılmamaktadır. Ek olarak, not önizleme bölmesi üst gezintiyi önlemek için sandbox işlemine tabi tutulmadığından, `target` değeri `_top` olarak ayarlanan bağlantılar üst düzey Electron sayfasını değiştirebilir. Joplin'in kurulumunda herhangi bir üst düzey Electron sayfası `require` erişimine sahip olduğundan ve Node kütüphanelerini çağırabildiğinden, kötü amaçlı bir değiştirilmiş üst düzey sayfa `child_process` modülünü içe aktarabilir ve rastgele kabuk komutları çalıştırabilir. Bu sorun, sürüm 2.12.8 ile birlikte gelen 7c52c3e9a81a52ef1b42a951f9deb9d378d59b0f commit'i ile düzeltilmiştir. Kullanıcıların güncellemeleri önerilir. Bu zafiyet için bilinen bir geçici çözüm bulunmamaktadır.