CVE-2022-40276

Zettlr versão 2.3.0

A vulnerabilidade permite que um invasor externo obtenha remotamente arquivos locais arbitrários em qualquer cliente que tente visualizar um arquivo Markdown malicioso através do Zettlr. Isso é possível porque o aplicativo não possui uma Política de Segurança de Conteúdo (CSP) ou, pelo menos, não possui uma política suficientemente rigorosa, e/ou não valida adequadamente o conteúdo dos arquivos Markdown antes de renderizá-los.

Para a versão 2.3.0 do Zettlr, considere implementar uma Política de Segurança de Conteúdo (CSP) rigorosa e validar adequadamente o conteúdo dos arquivos Markdown antes de renderizá-los para evitar a exploração. Como solução temporária, restrinja a renderização de arquivos Markdown de fontes não confiáveis até que um patch esteja disponível.