Joplin CVE-2022-35131

XSS, das zu RCE in Joplin führt, betrifft Version 2.8.8 und frühere. Getestet und funktioniert auf Windows und Linux.

Gemeldet und behoben: 2022-06

Technische Übersicht

1. Erstellen Sie eine Notiz mit Javascript-Payload als Titel (POCs unten)
2. Drücken Sie Ctrl+P und suchen Sie nach etwas in der Notiz oder im Titel
3. Payload wird ausgeführt, wenn sie im Suchergebnis angezeigt wird
4. Remote-Code-Ausführung kann durch Teilen des Notizbuchs erreicht werden

Das Problem liegt darin, dass dangerouslySetInnerHTML mit unescaped Benutzereingaben in GotoAnything.tsx Zeile 509 verwendet wird. Behebung durch Escaping der Benutzereingabe.

return (
  <div key={item.id} className={isSelected ? 'selected' : null} style={rowStyle} onClick={this.listItem_onClick} data-id={item.id} data-parent-id={item.parent_id} data-type={item.type}>
    <div style={style.rowTitle} dangerouslySetInnerHTML={{ __html: titleHtml }}></div>
    {fragmentComp}
    {pathComp}
  </div>
);