🇰🇷 한글 설명
Joplin Server 3.7.7 미만 버전에서 발생하는 취약점으로, 제목이 없는 SVG 파일을 공유할 때 Content-Disposition 헤더가 누락되어 악성 스크립트가 실행될 수 있습니다. 공격자는 이를 통해 동일 출처 정책(SOP)을 우회하여 사용자의 세션 데이터나 관리자 정보를 탈취할 수 있습니다.
💡 쉬운 설명
공유된 메모의 제목을 비워두고 악성 코드가 담긴 이미지를 올리면, 다른 사용자가 이를 열 때 해킹을 당할 수 있습니다. 해커는 이 방법을 통해 사용자의 로그인 정보나 중요한 데이터를 몰래 가져갈 수 있습니다.
🇺🇸 원문 (English)
Joplin is an open source note-taking and to-do application that organises notes and lists into notebooks. Prior to 3.7.7, Joplin Server's GET /shares/:id?resource_id= route serves a resource with the attacker-controlled mime value and omits Content-Disposition when the resource title is empty. A low-privileged user can publish an empty-title image/svg+xml attachment whose script executes when a victim opens the public share. By default, user content shares the Joplin Server application origin, allowing the script to access same-origin data and, when the victim is authenticated, perform actions with the victim's session, including reading administrative data and anti-CSRF tokens. Installations that configure USER_CONTENT_BASE_URL to a separate origin still execute the script, but on that separate user-content origin rather than the application origin. This issue is fixed in version 3.7.7.
📍 영향받는 시스템
Joplin Server 3.7.7 미만 버전
⚔️ 공격 벡터
제목이 없는 image/svg+xml 첨부 파일을 생성하여 공개 공유 링크를 통해 피해자에게 전달
🛡️ 대응 방법
Joplin Server를 최신 버전인 3.7.7 이상으로 업데이트
🔧 검증 코드
출력된 버전 정보가 3.7.7 미만인 경우 취약한 상태이며, 3.7.7 이상이어야 안전합니다.
curl -s http://<joplin-server-url>/api/version | grep -E '3\.[0-7]\.[0-7]'