CVE-2026-105783

Nome do Software Vulnerável e Versões Afetadas Joplin versões anteriores a 3.7.13

Description Quando o servidor Web Clipper opcional está habilitado no Joplin Desktop, o servidor em packages/lib/ClipperServer.ts envia o cabeçalho Access-Control-Allow-Origin: *. Isso permite que sites arbitrários chamem os endpoints de API 'POST /auth' e 'GET /auth/check' porque os endpoints de emparelhamento não rejeitam origens HTTP ou HTTPS. Como a caixa de diálogo de confirmação do desktop não identifica a origem solicitante, um usuário que aprova o aviso concede à página de ataque um token de API permanente. Este token permite acesso contínuo de leitura e gravação a notas, pastas, etiquetas, recursos e chaves mestras.

Recommendations Atualize para a versão 3.7.13.