Notesnook vulnerable a RCE a través de XSS almacenado en el visor de diferencias del historial de notas

La vulnerabilidad XSS en Notesnook Web/Desktop permite a un atacante inyectar scripts maliciosos en las páginas web de la aplicación. En versiones anteriores a 3.3.11, esta vulnerabilidad se agrava significativamente debido a la función de copia de seguridad y restauración de la aplicación de escritorio. Un atacante podría crear una nota con un encabezado malicioso que, al ser visualizado en el visor de comparación, se ejecute a través de dangerouslySetInnerHTML. Dado que Electron permite la integración de Node.js y la falta de aislamiento del contexto, este script puede acceder a los recursos del sistema y ejecutar código arbitrario en el entorno de la aplicación de escritorio, lo que resulta en una ejecución remota de código. Esto podría llevar al robo de datos sensibles, la modificación de archivos o incluso el control total del sistema.

Users of Notesnook Web/Desktop who are using versions prior to 3.3.11 are at risk. This includes individuals and organizations relying on Notesnook for note-taking and collaboration, particularly those who utilize the backup and restore feature. Shared hosting environments where Notesnook is installed could be particularly vulnerable, as a compromised note could affect multiple users.

• javascript / desktop:

// Check for suspicious note content in the history comparison viewer
// Look for <script> tags or event handlers

• generic web:

curl -I https://your-notesnook-instance/note/history | grep -i 'X-XSS-Protection'

• generic web:

# Check access logs for requests containing suspicious characters in note parameters
grep -i '<script' /var/log/apache2/access.log

1. 2026-03-27Disclosure

   disclosure

1. Reservado2026-03-24
2. Publicada2026-03-27
3. Modificada2026-04-03
4. EPSS actualizado2026-04-04

La mitigación principal para CVE-2026-33955 es actualizar Notesnook Web/Desktop a la versión 3.3.11 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización causa problemas de compatibilidad, considere realizar una copia de seguridad completa de sus datos antes de actualizar. Como medida temporal, desactive la función de copia de seguridad y restauración de la aplicación de escritorio, aunque esto limitará la funcionalidad. Además, revise cuidadosamente cualquier nota importada o creada en la aplicación en busca de contenido sospechoso. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el visor de comparación del historial de notas no permita la ejecución de scripts maliciosos.