CVE-2020–35717

zonote एक क्राफ्टेड नोट के माध्यम से XSS की अनुमति देता है, जिसके परिणामस्वरूप दूरस्थ कोड निष्पादन (क्योंकि Node.js एकीकरण सक्षम है) होता है।

भेद्यता का शोषण करने के चरण

• कोई भी zonote प्रभावित संस्करण डाउनलोड करें
• zonote ऐप खोलें
• मेनू > ओपन के माध्यम से zonote में xss-rce.znt आयात करें
• आयातित नोट्स में विभिन्न लिंक्स पर होवर करें

प्रकटीकरण समयरेखा

• 2020-12-26 समस्या का पता चला और मालिक से संपर्क किया गया
• 2020-12-26 मालिक ने रिपॉजिटरी को बनाए न रखने और भेद्यता को ठीक न करने का अपना इरादा व्यक्त किया
• 2021-01-01 भेद्यता का सार्वजनिक खुलासा