🇰🇷 한글 설명
Joplin 3.7.13 미만 버전에서 jsoncanvas 펜스가 포함된 노트를 선택할 경우, 특정 컴포넌트가 HTML을 안전하지 않게 렌더링하는 취약점이 존재합니다. 공격자는 이를 통해 스타일 요소나 원격 CSS를 주입하여 애플리케이션의 UI를 변조하거나 정보를 노출시킬 수 있습니다. 다만, CSP로 인해 직접적인 코드 실행은 차단됩니다.
💡 쉬운 설명
악성 코드가 담긴 노트를 열면 메모 앱의 화면 디자인이 이상하게 바뀌거나 가짜 화면이 나타날 수 있는 보안 약점입니다. 다행히 해커가 컴퓨터를 직접 조종하는 것은 어렵지만, 화면을 속여 정보를 빼낼 위험이 있습니다.
🇺🇸 원문 (English)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.13, selecting a note containing a jsoncanvas fence causes the whiteboard text and file-node components in packages/app-desktop/gui/NoteEditor/NoteBody/WhiteboardEditor/nodes/TextNode.tsx and packages/app-desktop/gui/NoteEditor/NoteBody/WhiteboardEditor/nodes/FileNode.tsx to render card content with the full Markdown renderer. The components insert the resulting HTML into the main application document through dangerouslySetInnerHTML. A malicious note can inject style elements and remote CSS imports that modify trusted application chrome, signal when the note is opened, and potentially disclose exposed attribute values. Content Security Policy blocks inline script execution, so the supported impact is CSS injection and UI redressing rather than code execution. This issue is fixed in version 3.7.13.
📍 영향받는 시스템
Joplin version < 3.7.13
⚔️ 공격 벡터
악성 jsoncanvas 형식이 포함된 노트를 사용자가 열도록 유도하여 CSS 주입 및 UI 변조 수행
🛡️ 대응 방법
Joplin을 최신 버전인 3.7.13 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.7.13보다 낮은지 확인하십시오.
joplin --version 2>/dev/null || echo 'Version check failed'