Joplin Desktop: Cross-Origin-Diebstahl des API-Tokens über Web-Clipper-Kopplung
Zusammenfassung
Joplin Desktop erlaubte bei aktiviertem, optionalem Web-Clipper-Server beliebigen Websites, die Kopplungsendpunkte /auth und /auth/check aufzurufen, da Web-Origins (HTTP und HTTPS) nicht abgelehnt wurden. Bestätigt ein Opfer die allgemeine Bestätigungsabfrage, erhält die angreifende Webseite das dauerhafte API-Token, das dauerhaften Lese- und Schreibzugriff auf Notizen, Ordner, Tags, Ressourcen und Hauptschlüssel gewährt.
Betroffen
- Joplin Desktop Versionen vor 3.7.13
- Web-Clipper-Server-Funktion aktiviert (optional)
Behoben in
- Behoben in Joplin Desktop 3.7.13
Umgehung
- Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme; den Web-Clipper-Dienst dort deaktivieren, wo er nicht benötigt wird.
Ausnutzung
- Nicht als aktiv ausgenutzt gekennzeichnet.
- Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Joplin-Desktop-Installationen inventarisieren und auf Version 3.7.13 oder neuer aktualisieren (aktuelle stabile Version auf der Releases-Seite prüfen).
- Den Web-Clipper-Dienst auf Arbeitsstationen deaktivieren, die ihn nicht benötigen.
- Nach dem Update gekoppelte Clipper prüfen und das API-Token neu generieren, falls eine verdächtige Kopplung bestätigt wurde.
- Mitarbeitende anweisen, Kopplungsabfragen nicht zu bestätigen, die sie nicht selbst ausgelöst haben.
- Das Herstellerdossier GHSA-9728-v7ww-mxjv auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 27ae5c0 (Restrict Web Clipper pairing to extension origins) github.com
- Pull request #16276 github.com
- Joplin release v3.7.13 github.com
- GitHub Security Advisory GHSA-9728-v7ww-mxjv github.com
- OSV entry CVE-2026-105783 osv.dev
- VulnRichment CVE-2026-105783 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.