CVE-2026-55210

Nome do Software Vulnerável e Versões Afetadas Joplin Server versões anteriores a 3.7.2

Description Em implantações que utilizam autenticação mista local e SAML, a função UserModel.ssoLogin() retorna uma conta existente correspondente a um e-mail afirmado por um Provedor de Identidade (IdP) sem verificar a flag is external da conta. Um invasor capaz de afirmar o e-mail de um usuário local via sessão de IdP pode enviar uma requisição para o endpoint 'POST /api/saml' para obter uma sessão para essa conta local. Isso permite o acesso não autorizado e a modificação de notas, arquivos e configurações da vítima sem a necessidade da senha local.

Recommendations Atualizar para a versão 3.7.2.