🇰🇷 한글 설명
Joplin 데스크톱 앱에서 Mermaid 기능이 도입된 <a> 태그 속성을 충분히 검증하지 않아 발생하는 원격 코드 실행(RCE) 취약점입니다. 공격자가 포함한 악성 링크를 사용자가 클릭할 경우, Electron 창의 Node.js API 권한을 이용해 임의의 셸 명령어를 실행할 수 있습니다.
💡 쉬운 설명
메모 앱에서 특정 링크를 클릭하는 것만으로도 해커가 내 컴퓨터를 마음대로 조종할 수 있는 위험한 보안 구멍이 발견되었습니다. 이는 메모에 포함된 특수 코드가 앱의 관리자 권한을 가로채기 때문입니다.
🇺🇸 원문 (English)
Joplin is a free, open source note taking and to-do application. Joplin-desktop has a vulnerability that leads to remote code execution (RCE) when a user clicks on an <a> link within untrusted notes. The issue arises due to insufficient sanitization of <a> tag attributes introduced by the Mermaid. This vulnerability allows the execution of untrusted HTML content within the Electron window, which has full access to Node.js APIs, enabling arbitrary shell command execution.
📍 영향받는 시스템
Joplin-desktop (Mermaid 기능이 포함된 버전)
⚔️ 공격 벡터
신뢰할 수 없는 출처의 메모에 포함된 악성 <a> 태그 링크를 사용자가 클릭함
🛡️ 대응 방법
Joplin 데스크톱 애플리케이션을 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 최신 버전인지 공식 릴리스 노트를 통해 확인하십시오.
joplin --version 2>/dev/null || echo 'Joplin not found in PATH'