CVE-2026-59815

Nome do Software Vulnerável e Versões Afetadas Joplin Server versões anteriores a 3.7.7

Description Uma falha de autorização existe na função ItemModel.checkIfAllowed(). O sistema permite a gravação de itens com um ID de compartilhamento se qualquer entrada existir para o chamador na tabela share users, mesmo que o status ShareUserStatus.Accepted não esteja presente. Consequentemente, um usuário autenticado de baixo privilégio com um convite de compartilhamento de pasta pendente pode criar um item sob o ID de compartilhamento. A função ShareModel.updateSharedItems3() então propaga esse conteúdo injetado para o proprietário e outros participantes aceitos antes que o convite seja oficialmente aceito.

Recommendations Atualizar para a versão 3.7.7.