PT-2024-13269 · Joplin · Joplin

Laurent22 · Publicado 2024-06-21 · Atualizado 2025-04-11 · CVE-2023-45673

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.0

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Joplin anteriores à 2.13.3

Descrição

Uma vulnerabilidade de execução remota de código no Joplin permite que comandos shell arbitrários sejam executados quando um usuário clica em um link em um PDF dentro de uma nota não confiável. Isso ocorre porque o Joplin Desktop não desativou o redirecionamento de topo para iframes do visualizador de notas e tem a integração com o Node habilitada. A vulnerabilidade afeta usuários que anexam PDFs não confiáveis a notas e têm o ícone habilitado.

Recomendações

Para versões anteriores à 2.13.3, atualize para a versão 2.13.3 para resolver a falha. Como solução temporária, considere desativar a integração com o Node ou restringir a capacidade de clicar em links em PDFs dentro de notas até que a atualização possa ser aplicada. Evite usar o iframe do visualizador de notas com notas não confiáveis até que a falha seja resolvida.

Exploit

Correção

RCE

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2023-45673

GHSA-G8QX-5VCM-3X59

Produtos afetados

Joplin

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2023/45xxx/CVE-2023-45673.json · Exploit
• https://github.com/laurent22/joplin/security/advisories/GHSA-g8qx-5vcm-3x59 · Aviso do Fabricante
• https://t.me/cvenotify/118885 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-45673 · Aviso do Fabricante
• https://developer.mozilla.org/en-US/docs/Web/HTML/Element/iframe#sandbox · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-45673 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1804341369277735015 · Publicação no Twitter