Note Mark présente une XSS stockée via le téléversement de ressources non restreint

L'exploitation réussie de cette vulnérabilité permet à un attaquant d'injecter du code JavaScript malveillant dans les pages web de Note Mark, qui sera ensuite exécuté dans le contexte du navigateur de l'utilisateur victime. Cela peut conduire à diverses attaques, telles que le vol de cookies de session, le détournement de clics, la modification du contenu de la page web, ou même l'accès non autorisé aux API Note Mark au nom de la victime. Le fait que l'application serve ces fichiers en ligne sans définir un type de contenu sûr et sans l'en-tête nosniff aggrave le risque, car les navigateurs peuvent interpréter et exécuter activement le contenu des fichiers téléchargés.

Organizations using Note Mark for internal collaboration or knowledge management are at risk, particularly those relying on older versions (0.19.0 - 0.19.2). Shared hosting environments where multiple users have access to the Note Mark instance are also at increased risk, as a compromised user could potentially exploit the vulnerability to affect other users.

• linux / server: Monitor Note Mark application logs for file uploads with suspicious content types (e.g., text/html, image/svg+xml) or unusual filenames. Use grep to search for patterns indicative of XSS payloads within uploaded files.

grep -r '<script' /var/log/notemark/upload.log

• generic web: Examine Note Mark's access logs for requests to asset endpoints with unusual parameters or user agents. Use curl to test asset endpoints with potentially malicious payloads.

curl -X POST -d '<script>alert("XSS")</script>' http://your-notemark-instance/assets/upload

1. 2026-04-16Disclosure

   disclosure

1. Réservé2026-04-10
2. Publiée2026-04-16
3. Modifiée2026-04-18
4. EPSS mis à jour2026-04-24

La mitigation immédiate consiste à mettre à jour Note Mark vers la version 0.19.2, qui corrige cette vulnérabilité. Si la mise à jour n'est pas possible immédiatement, il est recommandé de désactiver temporairement la fonctionnalité de téléchargement de fichiers HTML, SVG ou XHTML. En attendant, une configuration du pare-feu applicatif web (WAF) peut être mise en place pour bloquer les requêtes contenant des balises HTML suspectes. Il est également conseillé de surveiller les journaux d'accès et d'erreurs pour détecter toute activité suspecte. Après la mise à jour, vérifiez que la vulnérabilité est bien corrigée en essayant de télécharger un fichier HTML malveillant et en observant si le code est exécuté.