CVE-2026-105786
Publiée le 2026-10-06 · Dernière modification le 2026-10-06
Les serveurs Joplin auto-hébergés antérieurs à la version 3.7.13 sont affectés par une faille dans la manière dont les mots de passe d'application sont autorisés. Un attaquant peut inciter un utilisateur connecté à cliquer sur un lien malveillant, lui permettant ainsi de voler un identifiant permanent et d'obtenir un accès complet en lecture et écriture aux notes synchronisées de cet utilisateur. Cela ne nécessite aucun privilège spécial ni authentification préalable, seulement que la victime interagisse avec une requête spécifiquement conçue.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.13, packages/server/src/models/ApplicationModel.ts accepts a caller-chosen application authorization identifier, applications/:id/confirm binds that identifier to a logged-in user through a generic consent page, and the public packages/server/src/routes/api/application_auth.ts endpoint passes it to ApplicationModel.createAppPassword without authenticating or binding the redeemer. An attacker can cause a victim to approve the attacker's identifier, redeem a durable application ID and password, and exchange the credential for a victim session with full read and write access to synchronized data. This vulnerability is fixed in 3.7.13.