🇰🇷 한글 설명
Joplin 노트 앱의 fountain.ts 파일에서 fountain.js 렌더러가 생성한 HTML을 적절히 검증하지 않아 발생하는 취약점입니다. 공격자가 악성 Fountain 코드를 포함한 노트를 작성할 경우, 데스크톱, 모바일 또는 Joplin Server를 통해 스크립트가 실행될 수 있습니다. 이로 인해 노트 내용이 유출되거나 서버의 인증된 데이터에 접근할 수 있는 위험이 있습니다.
💡 쉬운 설명
노트 앱에서 특정 형식의 글을 읽을 때, 숨겨진 악성 코드가 자동으로 실행될 수 있는 보안 구멍이 발견되었습니다. 이 코드가 실행되면 사용자의 소중한 메모를 훔쳐보거나 서버의 개인 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.6.15 and 3.7.2, packages/renderer/MdToHtml/rules/fountain.ts passes HTML generated by the vendored fountain.js renderer into note output without sanitizing it. A malicious Fountain code block can therefore execute script when Fountain rendering is enabled in desktop or mobile clients, or when a note is published through Joplin Server where Fountain rendering is enabled by default. The script can read content subsequently loaded in the reused note viewer or, when published notes are served from the same domain as server content, access data available to an authenticated browser in the server origin. This issue is fixed in versions 3.6.15 and 3.7.2.
📍 영향받는 시스템
Joplin 버전 3.6.15 및 3.7.2 미만 버전
⚔️ 공격 벡터
악성 Fountain 코드가 포함된 노트를 작성하여 앱에서 렌더링하거나 서버를 통해 게시함
🛡️ 대응 방법
Joplin을 최신 버전인 3.6.15 또는 3.7.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.6.15 또는 3.7.2보다 낮은지 확인하십시오.
joplin --version 2>/dev/null || echo 'Version check requires manual inspection of installed application'