Joplin-CVE-2022-35131

Joplin CVE-2022-35131 XSS 导致 RCE，影响 Joplin 版本 2.8.8 及更早版本。已在 Windows 和 Linux 上测试并生效。 报告并修复于：2022-06 技术概述 1. 创建一条标题包含 JavaScript 有效载荷（payload）的笔记（示例载荷见下文） 2. 按下 Ctrl+P 并在笔记或标题中搜索内容 3. 有效载荷在搜索结果中显示时被执行 4. 通过共享笔记本可实现远程代码执行 问题在于 GotoAnything.tsx 第 509 行使用 dangerouslySetInnerHTML...