anchore_overrides,nvd
Enchantedcode
Уязвимости
8
Эксплуатируемые
0
Критический
2
Высокий
2
Топ продуктов
Топ уязвимостей
CVE-2026-44523Note Mark - это приложение для заметок с открытым исходным кодом. До 0.19.4 минимальная длина или энтропия не применяется в значении конфигурации JWT_SECRET. Приложение принимает любой базовый 64-декодируемый секрет независимо от размера, включая секреты, короткие до 1 байта. Эта уязвимость фиксируется в пункте 0,19.4.
CVE-2026-41571Note Mark - это приложение для заметок с открытым исходным кодом. В версии 0.19.2, IsPasswordMatch в backend/db/models.go возвращается к жесткому заполнителю bcrypt("null") всякий раз, когда у пользователя нет сохраненного пароля. Пользователи, зарегистрированные OIDC, создаются с пустым паролем, поэтому любой, кто отправляет пароль: «нул» внутренней конечной точке входа получает действующую сессию для этого пользователя. Вывод объезда не имеет аутентификации и не требует взаимодействия с пользователем. Эта проблема была исправлена в версии 0.19.3.
CVE-2026-40262Note Mark - это приложение для заметок с открытым исходным кодом. В версиях 0.19.1 и ранее обработчик доставки активов обслуживает загруженные файлы встроенными и полагается на обнаружение магического байта для типа контента, который не идентифицирует текстовые форматы, такие как HTML, SVG или XHTML. Эти файлы подаются с пустым типом Content-Type, без X-Content-Type-Options: заголовком nosniff и встрое диспозицией, позволяющей браузерам нюхать и отображать активный контент. Аутентифицированный пользователь может загрузить файл HTML или SVG, содержащий JavaScript в качестве актива заметки, и когда жертва переходит к URL-адресу актива, скрипт выполняется под происхождением приложения с доступом к аутентифицированному сеансу жертвы и действиям API. Эта проблема исправлена в версии 0.19.2.
CVE-2026-44522Note Mark - это приложение для заметок с открытым исходным кодом. С 0,13,0 до 0.19.4 приложение Note Mark позволяет аутентифицированным пользователям загружать активы в примечания через POST /api/notes/{noteID}/assets, где имя файла актива предоставляется через заголовок запроса X-Name. Это значение хранится непосредственно в базе данных без какой-либо санации или проверки - никакой фильтрации сепаратора пути, отсутствие отклонения последовательностей каталогов и без использования файлового патема.Base() для удаления компонентов каталога. Недезинфицированное имя сохраняется как в таблице note_assets (колонка имени, varchar(80)). Когда администратор впоследствии запускает экспорт данных CLI-команды (ноте-марка мигрирует экспорт-v1 или нотный знак мигрирует), имя хранимого актива передается непосредственно в filepath.Join() и path.Join() вызовы в рамках аргумента выхода файла к os.Create(). Поскольку Filepath.Join() разрешает ../ последовательности во время нормализации пути, имя агента, контролируемого злоумышленником, содержащее последовательности прохождения каталогов, заставляет процесс экспорта записывать файлы в произвольные местоположения в файловой системе, полностью за пределами предполагаемого каталога экспорта. Эта уязвимость фиксируется в пункте 0,19.4.
CVE-2026-40265Note Mark - это приложение для заметок с открытым исходным кодом. В версиях 0.19.1 и ранее конечная точка загрузки актива в /api/notes/{noteID}/assetID} регистрируется без промежуточного программного обеспечения аутентификации, а бэкенд-запрос не проверяет владение или видимость книги. Неаутентифицированный пользователь, который знает действительный идентификатор заметки и идентификатор актива, может получить полное содержимое частных нотных активов без аутентификации, независимо от того, является ли соответствующая книга публичной или частной. Эта проблема была исправлена в версии 0.19.2.
CVE-2024-41819Note Mark — это веб-приложение для заметок Markdown. Хранимая уязвимость межсайтового скриптинга (XSS) в Note Mark позволяет злоумышленникам выполнять произвольные веб-скрипты через специально созданную полезную нагрузку, внедренную в значение URL-адреса ссылки в содержимом markdown. Эта уязвимость устранена в версии 0.13.1.
CVE-2026-41572Note Mark - это приложение для заметок с открытым исходным кодом. До версии 0.19.3, после того, как владелец ноты мягко удаляет публичную книгу, его заметки и загруженные активы остаются читаемыми по адресу /api/notes/{id}, /api/notes/{id}/content, URL-адрес слизняков и конечных точек актива. Неаутентифицированные абоненты, которые держат удостоверение личности с заметкой или путь слизня, сохраняют доступ. Сфера действия soft-delete GORM не доходит до необработанных положений «JOIN book ...», используемых в заметках и запросах активов. Эта проблема была исправлена в версии 0.19.3.
CVE-2026-40263Note Mark - это приложение для заметок с открытым исходным кодом. В версиях 0.19.1 и предшествующей конечная точка входа выполняет проверку пароля bcrypt только тогда, когда существует отображаемое имя пользователя, немедленно возвращаясь для несуществующих имен пользователей. Это несоответствие времени позволяет неаутентифицированным злоумышленникам перечислять действительные имена пользователей, измеряя время отклика, позволяя целевые атаки учетных данных. Эта проблема исправлена в версии 0.19.2.