CVE-2026-46650

Joplin, notları ve listeleri defterler halinde düzenleyen açık kaynaklı bir not alma ve yapılacaklar uygulamasıdır. 3.7.2 sürümünden önce, packages/renderer/htmlUtils.ts dosyasındaki isAcceptedUrl() fonksiyonu, dahili kaynak URL'leri için sabitlenmemiş bir düzenli ifade kullanmaktadır; bu durum, eşleşen 32 karakterlik bir yol parçacığı içeren javascript: URL'sinin doğrulamayı geçmesine ve bir HTML notunun bağlantısına eklenmesine olanak tanır. Düşük yetkili bir Joplin Server kullanıcısı, hazırlanmış HTML notunu herkese açık bir paylaşım olarak yayınlayabilir. Mevcut yapıda standart sol tıklama engellenmiştir; yürütmenin kanıtlanması için orta tıklama veya eski ya da sıkılaştırılmamış bir tarayıcıda yeni sekmede aç seçeneği gereklidir çünkü güncel Chrome ve Firefox sürümleri javascript: yeni sekme gezintisini engellemektedir. Yürütme başarılı olduğunda, betik Joplin Server kaynağında çalışır, sayfada görünür içeriği okuyabilir ve kurban oturum açtığında kimliği doğrulanmış aynı kökenli istekler gönderebilir. Bu sorun 3.7.2 sürümünde düzeltilmiştir.