CVE-2026-34600

Joplin è un'applicazione open source per prendere appunti e gestire to-do list che organizza note e liste in notebook. Le versioni 3.5.2 e precedenti contengono un errore logico nell'API delta che consente ai destinatari delle condivisioni di scaricare note che non sono più condivise con loro, correlato ma non completamente risolto dal precedente patch in #14289. In ChangeModel.delta, quando DELTA_INCLUDES_ITEMS è abilitato (impostazione predefinita), lo stato più recente degli elementi viene allegato all'output delta senza verificare se tali elementi sono ancora condivisi con l'utente richiedente, e la logica di rimozione esistente filtra solo gli elementi eliminati per tutti gli utenti. Inoltre, la logica di compressione delle modifiche riduce erroneamente create - delete a NOOP, il che è pericoloso perché la compressione viene applicata per pagina e un elemento può avere più eventi di creazione; se una creazione precedente si trova su una pagina diversa rispetto a una coppia di create -> delete successiva, la cancellazione viene ignorata e la sequenza si riduce a una creazione. Di conseguenza, l'API delta restituisce un evento di creazione per un elemento eliminato con il contenuto più recente allegato, esponendo note a cui l'utente non ha più accesso. Questo problema è stato risolto nella versione 3.5.3.