Joplin Server: Kontoübernahme über vom Angreifer gewählte Anwendungs-Autorisierungs-ID
Zusammenfassung
Joplin Server vor 3.7.13 akzeptiert eine vom Aufrufer gewählte Anwendungs-Autorisierungs-ID und bindet sie über eine Zustimmungsseite an einen angemeldeten Benutzer. Der Einlösungs-Endpunkt stellt ohne Authentisierung des Einlösenden eine Anwendungs-ID und ein Passwort aus. Ein Angreifer, der ein Opfer dazu bringt, die gewählte ID zu genehmigen, kann einen dauerhaften Anwendungszugang erhalten und diesen gegen eine Sitzung mit vollem Lese- und Schreibzugriff auf synchronisierte Notizen eintauschen.
Betroffen
- Joplin Server (packages/server) Versionen vor 3.7.13
- Desktop- und Mobile-Clients sind als solche nicht betroffen; das Risiko liegt im serverseitigen Endpunkt
Behoben in
- Aktualisierung auf Joplin Server 3.7.13 oder neuer (aktuelle 3.7.x-Version empfohlen)
Umgehung
- Unbekannt.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar 'nein', technische Auswirkung 'total'.
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
- Eine Interaktion des Opfers (Genehmigung einer Zustimmungsaufforderung) ist erforderlich.
Unsere Empfehlung
- Jeden selbst betriebenen Joplin Server auf 3.7.13 oder neuer aktualisieren.
- Prüfen, ob der Server aus dem Internet erreichbar ist, und den Zugriff einschränken, falls er nicht benötigt wird.
- Anwendungspasswörter und aktive Sitzungen auf unbekannte Einträge prüfen.
- Server-Logs auf unerwartete Anwendungs-Autorisierungen prüfen.
- Benutzer anweisen, unerwartete Autorisierungsanfragen nicht zu genehmigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-435m-gr6q-2fg6 github.com
- Fix commit 1a0a50a github.com
- Pull request #16270 github.com
- Joplin release v3.7.13 github.com
- OSV entry CVE-2026-105786 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:26.
Referenzen der NVD (5)
- https://github.com/laurent22/joplin/commit/1a0a50afc96d4c228c736293d53de96aa23f4d00
- https://github.com/laurent22/joplin/pull/16270
- https://github.com/laurent22/joplin/releases/tag/v3.7.13
- https://github.com/laurent22/joplin/security/advisories/GHSA-435m-gr6q-2fg6
- https://github.com/laurent22/joplin/security/advisories/GHSA-435m-gr6q-2fg6
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.