PT-2025-18288 · Joplin · Joplin
Zonia3000
·
Publicado
2025-04-30
·
Atualizado
2025-06-15
·
CVE-2025-27134
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do Joplin anteriores à 3.3.3
Descrição
O problema refere-se a uma vulnerabilidade de escalonamento de privilégios no servidor Joplin. Esta vulnerabilidade permite que usuários não administradores explorem o endpoint da API
PATCH /api/users/:id para definir o campo is admin como 1, possibilitando-lhes executar ações administrativas sem a devida autorização.Recomendações
Para versões anteriores à 3.3.3, atualize para a versão 3.3.3 para resolver o problema. Como medida temporária de contorno, considere restringir o acesso ao endpoint da API
PATCH /api/users/:id para prevenir a exploração. Além disso, restrinja a capacidade de definir o campo is admin apenas para pessoal autorizado.Exploit
Correção
LPE
Improper Access Control
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Joplin