JVNDB-2026-009591

StreetwritersのNotesnook Desktop等の複数製品における複数の脆弱性

Notesnookはノート作成アプリです。Web/Desktop版の3.3.11以前、およびAndroid/iOS版の3.3.17以前において、Webクリッパーのレンダリングフローに格納されたXSSがデスクトップアプリにおけるリモートコード実行にエスカレートする可能性があります。根本原因としては、クリッパーが攻撃者により制御されたソースページのルート要素の属性を保持し、それをweb-clip HTML内に保存することがあります。クリップが後で開かれる際、NotesnookはそのHTMLを`contentDocument.write(...)`を使って同一オリジンかつサンドボックスなしのiframeにレンダリングします。`onload`、`onclick`、`onmouseover`などのイベントハンドラー属性はNotesnookのオリジン上で実行されます。デスクトップアプリでは、Electronの設定が`nodeIntegration: true`かつ`contextIsolation: false`であるため、これがリモートコード実行（RCE）につながります。バージョン3.3.11のWeb/Desktop版および3.3.17のAndroid/iOS版でこの問題は修正されています。

Streetwriters

• Notesnook Desktop 3.3.11 未満
• Notesnook Mobile 3.3.17 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : RCE via stored XSS in Web Clipper rendering  Advisory  streetwriters/notesnook  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-33976

1. National Vulnerability Database (NVD) : CVE-2026-33976

• [2026年04月02日]
    掲載