Vulnerabilidad en Joplin (CVE-2023-37898)

Joplin es una aplicación gratuita y de código abierto para tomar notas y tareas pendientes. Una vulnerabilidad de Cross-Site Scripting (XSS) permite que una nota que no es de confianza abierta en modo seguro ejecute código arbitrario. `packages/renderer/MarkupToHtml.ts` muestra el contenido de la nota en modo seguro rodeándolo con y , sin escapar de ninguna etiqueta HTML interior. Por lo tanto, un atacante puede crear una nota que cierre la etiqueta de apertura y luego incluya HTML que ejecute JavaScript. Debido a que el iframe de rebajas renderizado tiene el mismo origen que el documento de nivel superior y no está en un espacio aislado, cualquier script que se ejecute en el iframe de vista previa puede acceder a la variable superior y, por lo tanto, acceder a la función `require` de NodeJS de nivel superior. Luego, `require` se puede usar para importar módulos como fs o child_process y ejecutar comandos arbitrarios. Este problema se solucionó en la versión 2.12.9 y se recomienda a todos los usuarios que actualicen. No se conocen workarounds para esta vulnerabilidad.