CVE-2026-49449

Nome do Software Vulnerável e Versões Afetadas Joplin versões 1.4.0 até 3.7.1

Descrição No arquivo packages/renderer/MdToHtml/rules/katex.ts, o aplicativo habilita a opção de confiança para o conteúdo de notas KaTeX. Isso permite que um autor insira uma URL href na saída renderizada que ignora a lista de permissões de URL padrão. Em sistemas Windows, clicar em um link que aponta para um caminho UNC (Universal Naming Convention) controlado por um invasor faz com que a função pathExists() inicie a autenticação SMB. Esse processo expõe a resposta de desafio NTLMv2 do usuário atual sem aviso prévio. Além disso, a URL não filtrada pode acionar outros manipuladores de URL registrados.

Recomendações Atualizar para a versão 3.7.2.