CVE-2026-105786
Beschrijving NL
Joplin is een open source notitie- en to-do-applicatie die notities en lijsten organiseert in notitieblokken. Voorafgaand aan 3.7.13 accepteert packages/server/src/models/ApplicationModel.ts een door de beller gekozen autorisatie-ID voor de toepassing, applications/:id/confirm bindt die ID aan een ingelogde gebruiker via een generieke toestemmingspagina en het openbare packages/server/src/routes/api/application_auth.ts-eindpunt geeft deze door aan ApplicationModel.createAppPassword zonder de verlosser te authenticeren of te binden. Een aanvaller kan ervoor zorgen dat een slachtoffer de identificatie van de aanvaller goedkeurt, een duurzame applicatie-ID en wachtwoord inwisselt en de inloggegevens voor een slachtoffersessie uitwisselt met volledige lees- en schrijftoegang tot gesynchroniseerde gegevens. Deze kwetsbaarheid is opgelost in 3.7.13.
Origineel (Engels) tonen
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.13, packages/server/src/models/ApplicationModel.ts accepts a caller-chosen application authorization identifier, applications/:id/confirm binds that identifier to a logged-in user through a generic consent page, and the public packages/server/src/routes/api/application_auth.ts endpoint passes it to ApplicationModel.createAppPassword without authenticating or binding the redeemer. An attacker can cause a victim to approve the attacker's identifier, redeem a durable application ID and password, and exchange the credential for a victim session with full read and write access to synchronized data. This vulnerability is fixed in 3.7.13.