PT-2024-28961 · Joplin · Joplin

Febou92 · Publicado 2024-09-09 · Atualizado 2024-09-17 · CVE-2024-40643

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Joplin (versões afetadas não especificadas)

Descrição

O problema decorre da falha do Joplin em considerar que “<” seguido por um caractere que não seja uma letra não será considerado HTML. Essa falha permite um potencial ataque XSS por meio da injeção de uma tag “ilegal” dentro de uma tag. A vulnerabilidade está relacionada ao tratamento de tags e caracteres HTML pelo aplicativo.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-40643

GHSA-G796-3G6G-JMMC

Produtos afetados

Joplin

Referências · 12

• 🔥 https://github.com/laurent22/joplin/security/advisories/GHSA-g796-3g6g-jmmc · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/40xxx/CVE-2024-40643.json · Exploit
• https://github.com/laurent22/joplin/commit/b220413a9b5ed55fb1f565ac786a5c231da8bc87 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-40643 · Nota de Segurança
• https://twitter.com/cracbot/status/1834834514826477593 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1833156212260512094 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1833158892324323438 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1833183061363622181 · Publicação no Twitter
• https://twitter.com/cracbot/status/1834109785781981661 · Publicação no Twitter
• https://t.me/latest_high_impact_cve/1121 · Publicação no Telegram
• https://t.me/cvedetector/5109 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-40643 · Aviso do Fabricante