PT-2024-33486 · Mermaid+3 · Mermaid+3

Jackfromeast · Publicado 2024-11-14 · Atualizado 2024-11-15 · CVE-2024-49362

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Joplin-desktop (versões afetadas não especificadas)

Descrição

O problema surge devido à sanitização insuficiente dos atributos da tag <a>, introduzidos pelo Mermaid, permitindo a execução de conteúdo HTML não confiável dentro da janela do Electron. Isso possibilita a execução arbitrária de comandos de shell quando um usuário clica em um link <a> dentro de notas não confiáveis. O iframe de visualização do Markdown compartilha a mesma origem que seu pai e não possui o atributo sandbox, permitindo que scripts em execução no iframe chamem APIs do Node.js por meio de window.parent.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

RCE

Code Injection

XSS

Enumeração de Fraquezas

CWE-94

CWE-79

Identificadores relacionados

CVE-2024-49362

GHSA-HFF8-HJWV-J9Q7

Produtos afetados

Electron

Joplin-Desktop

Mermaid

Node.Js

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/49xxx/CVE-2024-49362.json · Exploit
• https://github.com/laurent22/joplin · Nota
• https://github.com/laurent22/joplin/security/advisories/GHSA-hff8-hjwv-j9q7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-49362 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hff8-hjwv-j9q7 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1857256261026230689 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1857119158212722743 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-49362 · Aviso do Fabricante