CVE-2026-49450
Açıklama
Joplin, notları ve listeleri defterler halinde düzenleyen açık kaynaklı bir not alma ve yapılacaklar uygulamasıdır. 3.7.2 sürümünden önce, Windows için Joplin Desktop, packages/app-desktop/package.json dosyasından publisherName bilgisini eksik bıraktığından, oluşturulan app-update.yml dosyası NsisUpdater.verifySignature() fonksiyonunun indirilen bir güncellemenin Authenticode imzalayıcısını Joplin'in imzalayıcısıyla karşılaştırmasını atlamasına neden olur. Güncelleme dağıtım yolunu kontrol eden bir saldırgan, güncelleme meta verilerini ve yükleyiciyi değiştirebilir ve kullanıcı kurulumu onayladıktan sonra istemci, başka bir yayıncı tarafından imzalanmış veya imzasız bırakılmış bir yükleyiciyi kabul eder. Başarılı bir istismar, saldırgan tarafından kontrol edilen kodun kullanıcı ayrıcalıklarıyla çalıştırılmasına neden olabilir; notların, kimlik bilgilerinin ve yerel verilerin güvenliğini tehlikeye atabilir. Bu sorun 3.7.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| laurent22 joplin | < 3.7.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.