CVE-2026-49450

Nome do Software Vulnerável e Versões Afetadas Joplin Desktop for Windows versões anteriores a 3.7.2

Descrição O Joplin Desktop para Windows não inclui o publisherName no arquivo packages/app-desktop/package.json. Essa omissão faz com que a função NsisUpdater.verifySignature() ignore a comparação entre o assinante Authenticode de uma atualização baixada e o assinante oficial do Joplin. Um invasor que controle o caminho de entrega da atualização pode substituir os metadados e o instalador da atualização. Consequentemente, o cliente pode aceitar um instalador não assinado ou assinado por outro publicador após a aprovação do usuário. A exploração bem-sucedida permite a execução de código arbitrário com privilégios de usuário, podendo comprometer notas, credenciais e dados locais.

Recomendações Atualize para a versão 3.7.2.