🇰🇷 한글 설명
Joplin Desktop에서 Web Clipper 서버 옵션이 활성화된 경우, 특정 엔드포인트가 모든 Origin을 허용하여 임의의 웹사이트가 인증 요청을 보낼 수 있는 취약점이 존재합니다. 공격자가 사용자의 승인을 유도하여 영구적인 API 토큰을 탈취하면 노트, 폴더, 마스터 키 등 모든 데이터에 대한 읽기 및 쓰기 권한을 얻을 수 있습니다.
💡 쉬운 설명
나쁜 웹사이트가 사용자의 Joplin 앱에 몰래 접근하여 모든 메모와 비밀번호를 훔쳐갈 수 있는 보안 구멍이 발견되었습니다. 사용자가 무심코 승인 버튼을 누르면 공격자가 사용자의 모든 노트를 마음대로 읽고 수정할 수 있게 됩니다.
🇺🇸 원문 (English)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.13, when Joplin Desktop is running with the opt-in Web Clipper server enabled, the server in packages/lib/ClipperServer.ts sends Access-Control-Allow-Origin: * and allows an arbitrary website to call POST /auth and GET /auth/check because the pairing endpoints do not reject HTTP or HTTPS origins. The desktop confirmation dialog does not identify the requesting origin, so a victim who approves the generic prompt authorizes the attacking page, which then receives the permanent API token. The token provides ongoing read and write access to notes, folders, tags, resources, and master keys. This issue is fixed in version 3.7.13.
📍 영향받는 시스템
Joplin Desktop 3.7.13 미만 버전 (Web Clipper 서버 활성화 시)
⚔️ 공격 벡터
악성 웹사이트를 통한 CORS 설정 미비 엔드포인트(POST /auth) 호출 및 사용자 승인 유도
🛡️ 대응 방법
Joplin Desktop을 최신 버전인 3.7.13 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.7.13 미만인지 확인하십시오.
joplin --version 2>/dev/null || echo 'Version check requires manual inspection of installed application'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server