CVE-2026-105785
Açıklama
Joplin, notları ve listeleri defterler halinde düzenleyen açık kaynaklı bir not alma ve yapılacaklar uygulamasıdır. Joplin Server 3.7.2 öncesindeki sürümlerde, packages/server/src/models/TokenModel.ts dosyası; CSRF, hesap onaylama, e-posta değiştirme ve şifre sıfırlama belirteçlerini (token) bir amaç belirtmeksizin saklamakta ve packages/server/src/models/UserModel.ts dosyasındaki UserModel.resetPassword fonksiyonu, TokenModel.userFromToken tarafından döndürülen herhangi bir belirteci kabul etmektedir. Ayrı bir ifşa kanalı aracılığıyla kurbanın CSRF veya onay belirtecini ele geçiren bir saldırgan, bunu herkese açık şifre sıfırlama uç noktasına göndererek kurbanın şifresini değiştirebilir ve mevcut oturumların ile API uygulamalarının silinmesine neden olabilir. Bu sorun Joplin Server 3.7.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| laurent22 joplin | < 3.7.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.