一、 漏洞 CVE-2023-38506 基础信息
漏洞标题
"在使用Joplin的富文本编辑器粘贴HTML时的跨站脚本（XSS）"
来源：AIGC 神龙大模型
漏洞描述信息
乔普林（Joplin）是一款免费的开源笔记和待办事项应用。一个跨站点脚本（XSS）漏洞允许将不可信任的数据粘贴到富文本编辑器中，从而执行任意代码。粘贴到富文本编辑器的HTML代码没有被清理（或者清理不完全）。因此，粘贴图片的“onload”属性可以执行任意代码。由于TinyMCE编辑器框架没有使用“sandbox”属性，这样的脚本可以通过“top”变量访问NodeJS的“require”。从这一途径，攻击者可以执行任意命令。此问题在版本2.12.10中已得到解决，建议用户升级。针对此漏洞，目前没有已知的修补方法。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:H
来源：AIGC 神龙大模型
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：AIGC 神龙大模型
漏洞标题
Cross-site Scripting (XSS) when pasting HTML into the rich text editor in Joplin
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Joplin is a free, open source note taking and to-do application. A Cross-site Scripting (XSS) vulnerability allows pasting untrusted data into the rich text editor to execute arbitrary code. HTML pasted into the rich text editor is not sanitized (or not sanitized properly). As such, the `onload` attribute of pasted images can execute arbitrary code. Because the TinyMCE editor frame does not use the `sandbox` attribute, such scripts can access NodeJS's `require` through the `top` variable. From this, an attacker can run arbitrary commands. This issue has been addressed in version 2.12.10 and users are advised to upgrade. There are no known workarounds for this vulnerability.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
漏洞标题
Joplin 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Joplin是一款开源的笔记和待办事项应用程序。 Joplin 2.12.10之前版本存在安全漏洞，该漏洞源于存在跨站脚本(XSS)漏洞，允许将不受信任的数据粘贴到文本编辑器中以执行任意代码。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2023-38506 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2023-38506 的情报信息