CVE-2025-25187

Joplin; defterler halinde organize edilmiş çok sayıda notu yönetebilen ücretsiz ve açık kaynaklı bir not alma ve yapılacaklar uygulamasıdır. Bu güvenlik açığı, HTML varlıkları önce temizlenmeden React'in `dangerouslySetInnerHTML` özelliği kullanılarak not başlıklarının belgeye eklenmesinden kaynaklanmaktadır. Joplin, kısıtlayıcı bir `script-src` içeren bir Content-Security-Policy'den yoksundur. Bu durum, temizlenmemiş HTML içindeki satır içi `onclick`/`onload` olay işleyicileri aracılığıyla rastgele JavaScript çalıştırılmasına olanak tanır. Ek olarak, Joplin'in ana penceresi `nodeIntegration` değeri `true` olarak ayarlanmış şekilde oluşturulduğundan, rastgele JavaScript yürütülmesi rastgele kod çalıştırma ile sonuçlanabilmektedir. 1) Bilinmeyen kaynaklardan not alan ve 2) arama yapmak için <kbd>ctrl</kbd>-<kbd>p</kbd> kombinasyonunu kullanan herkes bu durumdan etkilenir. Bu sorun versiyon 3.1.24 ile giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm bulunmamaktadır.