CVE-2024-39904

VNote bir not alma platformudur. 3.18.1 sürümünden önce VNote'da, bir saldırganın kurbanın sisteminde rastgele programlar çalıştırmasına izin veren bir kod çalıştırma zafiyeti bulunmaktaydı. Bu saldırıyı gerçekleştirmek için bir not içerisinde link olarak file:/// kullanılarak özel olarak hazırlanmış bir URI kullanılabilir. Örneğin; file:///C:/WINDOWS/system32/cmd.exe. Bu durum, saldırganların file:///C:/WINDOWS/system32/cmd.exe ve file:///C:/WINDOWS/system32/calc.exe gibi yerel bir yürütülebilir dosyaya referans ekleyerek rastgele programlar çalıştırmasına olanak tanır. Bu zafiyet, özel olarak hazırlanmış notlar oluşturulup paylaşılarak istismar edilebilir. Bir saldırgan, hazırlanmış bir not dosyası göndererek daha ileri saldırılar gerçekleştirebilir. Bu zafiyet 3.18.1 sürümünde giderilmiştir.