Plataforma
nodejs
Componente
joplin
Corrigido em
3.3.4
Uma vulnerabilidade de Path Traversal foi descoberta no Joplin Server, uma aplicação de anotações de código aberto. Essa falha permite que atacantes leiam arquivos fora dos diretórios designados, comprometendo a confidencialidade dos dados armazenados. A vulnerabilidade afeta versões do Joplin Server anteriores à 3.3.3 e foi publicada em 30 de abril de 2025. A atualização para a versão 3.3.3 resolve a questão.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante acesse arquivos arbitrários no sistema de arquivos do servidor Joplin. Isso pode incluir arquivos de configuração, dados de usuários, ou até mesmo código fonte. O impacto potencial varia dependendo da sensibilidade dos arquivos acessíveis, mas pode levar à divulgação de informações confidenciais, comprometimento da integridade do sistema e, em casos extremos, execução remota de código se arquivos executáveis forem acessíveis. A ausência de validação adequada do caminho do arquivo na função findLocalFile é a raiz do problema, permitindo que atacantes manipulem a entrada para acessar recursos fora do escopo pretendido.
A vulnerabilidade foi divulgada em 30 de abril de 2025. A probabilidade de exploração é considerada média, dado que a vulnerabilidade envolve Path Traversal, um vetor de ataque bem conhecido. Não há informações disponíveis sobre a inclusão desta CVE no KEV (CISA Known Exploited Vulnerabilities) ou sobre a existência de exploits públicos. A ausência de um exploit público não diminui a importância de aplicar a correção, pois a descoberta de um exploit pode levar a uma rápida exploração em larga escala.
Users running Joplin Server versions prior to 3.3.3, particularly those with publicly accessible instances or those hosting sensitive data, are at significant risk. Shared hosting environments where Joplin Server is installed could also be vulnerable, as the attacker might be able to exploit the vulnerability to access files belonging to other users on the same server.
• nodejs / server:
grep -r 'pluginAssets' /var/log/joplin/server.log
grep -r 'css/pluginAssets' /var/log/joplin/server.log
grep -r 'js/pluginAssets' /var/log/joplin/server.log• generic web:
curl -I 'http://your-joplin-server/css/pluginAssets/../../../../etc/passwd'disclosure
Status do Exploit
EPSS
0.61% (percentil 70%)
CISA SSVC
Vetor CVSS
A mitigação primária para esta vulnerabilidade é atualizar o Joplin Server para a versão 3.3.3 ou superior, que inclui a correção. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao servidor Joplin através de um firewall e monitorar os logs do sistema em busca de atividades suspeitas. A implementação de regras de WAF (Web Application Firewall) para bloquear requisições com caminhos de arquivo maliciosos também pode ajudar a mitigar o risco. Após a atualização, confirme a correção verificando se a função findLocalFile agora valida corretamente os caminhos dos arquivos.
Actualice Joplin Server a la versión 3.3.3 o superior. Esta versión contiene una corrección para la vulnerabilidad de path traversal. La actualización se puede realizar a través del panel de administración o descargando la última versión del software.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-27409 is a Path Traversal vulnerability affecting Joplin Server versions up to 3.3.3, allowing attackers to read files outside intended directories.
Yes, if you are running Joplin Server version 3.3.3 or earlier, you are vulnerable to this Path Traversal vulnerability.
Upgrade Joplin Server to version 3.3.3 or later to patch this vulnerability. Consider WAF rules as a temporary mitigation.
There is currently no confirmed evidence of active exploitation, but the vulnerability's nature suggests it could be targeted.
Please refer to the official Joplin security advisories on their website or GitHub repository for the latest information.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.