Plataforma
other
Componente
joplin
Corregido en
3.0.16
CVE-2024-40643 describe una vulnerabilidad de Cross-Site Scripting (XSS) en Joplin, una aplicación de toma de notas de código abierto. Esta falla permite a un atacante inyectar scripts maliciosos en la aplicación, comprometiendo la confidencialidad y disponibilidad de las notas del usuario. La vulnerabilidad afecta a versiones de Joplin anteriores o iguales a 3.0.15, y se ha solucionado en la versión 3.0.15.
La vulnerabilidad XSS en Joplin permite a un atacante ejecutar código JavaScript arbitrario en el contexto del navegador del usuario. Esto podría resultar en el robo de credenciales de inicio de sesión, la modificación de notas sensibles o la redirección del usuario a sitios web maliciosos. Un atacante podría explotar esta vulnerabilidad si un usuario visita una nota especialmente diseñada que contenga el código malicioso. La gravedad de esta vulnerabilidad es alta debido a su potencial para comprometer la integridad y confidencialidad de los datos del usuario, similar a ataques XSS que han afectado a otras aplicaciones de productividad.
Este CVE fue publicado el 9 de septiembre de 2024. No se ha reportado su inclusión en el KEV de CISA ni se han identificado campañas de explotación activas. La existencia de un PoC público es desconocida hasta el momento, pero la naturaleza de la vulnerabilidad XSS sugiere que podría ser relativamente fácil de explotar una vez que se comprenden los detalles técnicos.
Users of Joplin who rely on the application to store sensitive information, particularly those using older versions (≤ 3.0.15). Individuals who share Joplin notes with others are also at increased risk, as malicious notes could be distributed and executed.
disclosure
Estado del Exploit
EPSS
0.56% (68% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2024-40643 es actualizar Joplin a la versión 3.0.15 o superior. Si la actualización no es inmediatamente posible, se recomienda extremar la precaución al abrir notas de fuentes desconocidas. Aunque no hay una solución WAF directa, se puede implementar un filtro de entrada que valide y escape caracteres HTML especiales en las notas. Después de la actualización, verifique la integridad de la instalación de Joplin confirmando que la versión mostrada en la aplicación coincida con la versión 3.0.15 o superior.
Actualice Joplin a la versión 3.0.15 o superior. Esta versión contiene una corrección para la vulnerabilidad XSS (Cross-Site Scripting). Puede descargar la última versión desde el sitio web oficial de Joplin o a través del gestor de paquetes de su sistema operativo.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-40643 is a critical XSS vulnerability in Joplin note-taking application, allowing attackers to inject malicious scripts. It affects versions up to 3.0.15.
Yes, if you are using Joplin version 3.0.15 or earlier, you are vulnerable to this XSS attack. Upgrade immediately.
Upgrade Joplin to version 3.0.15 or later to resolve the vulnerability. This update includes a fix for the improper HTML sanitization.
As of now, there is no confirmed evidence of active exploitation, but public POCs are likely to appear.
Refer to the Joplin security advisory on their official website or GitHub repository for detailed information and updates.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.