PT-2024-12733 · Joplin+2 · Joplin+2

Personalizedrefrigerator · Publicado 2024-06-21 · Atualizado 2025-04-11 · CVE-2023-38506

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Joplin anteriores à 2.12.10

Descrição

Uma vulnerabilidade de Cross-site Scripting (XSS) no Joplin permite a execução de código arbitrário ao colar dados não confiáveis no editor de rich text. Isso ocorre porque o HTML colado no editor não é devidamente sanitizado, permitindo que o atributo onload das imagens coladas execute código arbitrário. Como o quadro do editor TinyMCE não possui o atributo sandbox, os scripts podem acessar o require do NodeJS por meio da variável top, permitindo que um invasor execute comandos arbitrários.

Recomendações

Para versões anteriores à 2.12.10, atualize para a versão 2.12.10 ou posterior para resolver o problema. Como solução temporária, considere desativar o recurso do editor de rich text até que um patch esteja disponível. Restrinja o acesso a dados não confiáveis para minimizar o risco de exploração. Evite colar HTML não confiável no editor de rich text até que o problema seja resolvido.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2023-38506

GHSA-M59C-9RRJ-C399

Produtos afetados

Joplin

Node.Js

Tinymce

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2023/38xxx/CVE-2023-38506.json · Exploit
• https://github.com/laurent22/joplin/security/advisories/GHSA-m59c-9rrj-c399 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2023-38506 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1804341116243771548 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2023-38506 · Nota de Segurança
• https://t.me/cvenotify/118884 · Publicação no Telegram