Joplin CVE-2022-35131

Joplin में XSS जो RCE की ओर ले जाता है, संस्करण 2.8.8 और उससे पहले के संस्करणों को प्रभावित करता है। Windows और Linux पर परीक्षण किया गया है और काम करता है।

रिपोर्ट किया गया और ठीक किया गया: 2022-06

तकनीकी अवलोकन

1. जावास्क्रिप्ट पेलोड को शीर्षक के रूप में एक नोट बनाएं (POC नीचे दिए गए हैं)
2. Ctrl+P दबाएं और नोट या शीर्षक में कुछ खोजें
3. खोज परिणाम में दिखाए जाने पर पेलोड निष्पादित हो जाता है
4. नोटबुक साझा करके रिमोट कोड एक्सेक्यूशन प्राप्त किया जा सकता है

समस्या यह है क्योंकि dangerouslySetInnerHTML का उपयोग GotoAnything.tsx की पंक्ति 509 में बिना एस्केप किए उपयोगकर्ता इनपुट के साथ किया जाता है। उपयोगकर्ता इनपुट को एस्केप करके इसे ठीक करें।

return (
  <div key={item.id} className={isSelected ? 'selected' : null} style={rowStyle} onClick={this.listItem_onClick} data-id={item.id} data-parent-id={item.parent_id} data-type={item.type}>
    <div style={style.rowTitle} dangerouslySetInnerHTML={{ __html: titleHtml }}></div>
    {fragmentComp}
    {pathComp}
  </div>
);

POC

पेलोड में स्पेस का उपयोग नहीं किया जा सकता है, लेकिन एन्कोडेड स्पेस \x20 का उपयोग किया जा सकता है।

उदाहरण शीर्षक पेलोड:

# Payload 1 (Linux)
zzz

# Payload 2 (Windows)
zzz

# Reverse shell (Linux)
zzz

पेलोड निष्पादित करने के लिए zzz खोजें।