🇰🇷 한글 설명
Joplin 1.0.90 미만 버전에서 노트 콘텐츠 필드의 취약점을 이용한 XSS가 발생하며, 이는 nodeIntegration 설정으로 인해 임의 코드 실행으로 이어질 수 있습니다. 공격자는 클라우드 서비스 등을 통해 동기화된 악성 코드가 포함된 노트를 통해 사용자 권한으로 코드를 실행할 수 있습니다.
💡 쉬운 설명
노트 앱에 악성 코드가 담긴 노트를 동기화하면 해커가 사용자의 컴퓨터에서 몰래 명령을 실행할 수 있는 보안 결함입니다. 업데이트를 하지 않으면 노트 내용만 읽어도 컴퓨터가 해킹당할 위험이 있습니다.
🇺🇸 원문 (English)
Joplin version prior to 1.0.90 contains a XSS evolving into code execution due to enabled nodeIntegration for that particular BrowserWindow instance where XSS was identified from vulnerability in Note content field - information on the fix can be found here https://github.com/laurent22/joplin/commit/494e235e18659574f836f84fcf9f4d4fcdcfcf89 that can result in executing unauthorized code within the rights in which the application is running. This attack appear to be exploitable via Victim synchronizing notes from the cloud services or other note-keeping services which contain malicious code. This vulnerability appears to have been fixed in 1.0.90 and later.
📍 영향받는 시스템
Joplin version prior to 1.0.90
⚔️ 공격 벡터
클라우드 서비스 등을 통해 악성 코드가 포함된 노트를 동기화하여 XSS 공격 수행
🛡️ 대응 방법
Joplin을 1.0.90 또는 그 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.0.90 미만인지 확인하여 취약 여부를 판단합니다.
joplin --version 2>/dev/null | grep -E '1\.[0-9]+\.[0-9]+'