Notesnook は、Web Clipper レンダリングでの保存された XSS に対して脆弱である

Notesnook Web/Desktop の CVE-2026-33976 は、リモートコード実行 (RCE) の可能性により、重大なリスクをもたらします。この保存型 XSS の脆弱性は、Web Clipper のレンダリングフローを通じて悪用されます。攻撃者は、Web ページに悪意のあるコードを注入し、それを Notesnook にクリップとして保存できます。このクリップをデスクトップアプリケーションで開くと、Notesnook は適切なサンドボックス保護なしに iframe 内でレンダリングします。これにより、攻撃者はデスクトップアプリケーションのコンテキストで任意のコードを実行でき、ユーザーのシステムセキュリティが損なわれる可能性があります。CVSS 重大度スコア 9.7 は、悪用の可能性が高く、重大な影響を与える可能性があることを反映しています。

Users of Notesnook, particularly those who rely on the Web Clipper feature to capture content from websites, are at significant risk. This includes individuals and organizations using Notesnook for research, note-taking, and content management. Shared hosting environments where multiple users share a Notesnook installation are also at increased risk, as a compromised user account could potentially impact other users on the same server.

• windows / desktop: Monitor Notesnook process for unusual network activity or unexpected process creation. Use Sysinternals tools like Process Monitor to observe file system and registry modifications.

Get-Process Notesnook | Select-Object -ExpandProperty Path

• linux / server: (Notesnook desktop app may run on Linux via Wine) Monitor Notesnook process for unusual network activity. Examine system logs for suspicious entries related to Notesnook.

ps aux | grep Notesnook

• generic web: Monitor web server access logs for requests containing suspicious HTML attributes or JavaScript code within the Web Clipper URL.

grep -i 'onload|onclick|onmouseover' /var/log/apache2/access.log

1. 2026-03-27Disclosure

   disclosure

1. 予約済み2026-03-24
2. 公開日2026-03-27
3. 更新日2026-04-03
4. EPSS 更新日2026-04-04

このリスクを軽減するために、Notesnook を Web/Desktop の 3.3.11、Android/iOS の 3.3.17 にアップデートすることを強くお勧めします。これらのアップデートは、Web Clipper のレンダリングプロセス中に悪意のあるコードの注入と実行を防ぐためのセキュリティ対策を実装することで、脆弱性を修正します。アップデートを適用する間、疑わしい Web クリップを開いたり、信頼できないソースからのクリップを開いたりしないようにすることをお勧めします。Notesnook アプリケーション内の異常なアクティビティを監視することで、潜在的な悪用試行を検出するのにも役立ちます。