觀點 · 資訊分享

自架筆記 Note Mark 爆登入繞過：用 SSO 註冊的帳號，輸入特定字串就能登入，0.19.3 已修

開源筆記服務 Note Mark 公布嚴重漏洞 CVE-2026-41571：以 OIDC（單一登入）註冊的使用者沒有儲存密碼，內部登入卻會拿一個固定的占位值來比對，導致任何人可能用特定字串登入這些帳號。請升級到 v0.19.3。

一句話看懂：Note Mark 用 OIDC 註冊的帳號沒有密碼，登入時卻拿一個固定占位值比對，導致任何人可能冒登這些帳號；請升級到 v0.19.3。

Note Mark 登入驗證被繞過資訊圖卡：SSO 註冊的帳號沒有密碼，卻被拿一個固定占位值比對

先用白話講：這是什麼漏洞？

想像一間公寓的門禁：住戶平常用「感應卡」（單一登入）進門，所以門鎖系統裡，這些住戶的「密碼欄」是空白的。但系統有個奇怪的設計：遇到密碼欄空白時，會拿一組「預設答案」來比對。結果只要有人報出那組預設答案，就能被當成這位住戶。

這就是這次的問題：預設答案是固定的、而且公開可預測。

2026 年 4 月 25 日，GitHub 公布 Note Mark 的安全公告（CVE-2026-41571）：

公告提到兩個預設值：

預設設定	影響
內部登入預設開啟	就算你用 OIDC，內部登入入口仍然存在
匿名使用者搜尋預設開啟	未登入的人也可能先列出使用者名稱

公告也指出，登入後還能呼叫改密碼的功能，用同樣的占位值當「舊密碼」，替該帳號寫入新密碼，讓真正的使用者之後無法走內部登入。

這個漏洞很有意思，因為它的起點其實是一個「好意」：為了防止攻擊者靠回應時間差推測帳號是否存在，設計了占位雜湊。但實作時漏想了「占位值也能被當成正確答案」。資安的缺口常常出現在這種為了補一個洞而新增的程式碼裡。

對自架的人，我的建議是：筆記、知識庫這類服務，常常存放著連線資訊、客戶資料或內部文件。除了升級，記得把用不到的登入方式關掉，並且不要把服務直接放在公網上，至少加一層反向代理或 VPN。

Note Mark 是什麼？

一個開源、可自架的 Markdown 筆記服務，支援用 OIDC（如公司或自架的單一登入）登入。

哪些人會受影響？

依公告，影響的是「透過 OIDC 註冊、本身沒有儲存密碼」的帳號，且內部登入功能有開啟（預設就是開啟）。

升級以外還要做什麼？

如果你有用 OIDC，建議檢查是否有帳號的密碼被異常設定過；公告也提到，攻擊者登入後可以替這些帳號設定新密碼，讓原本的使用者無法用內部登入。另外，用不到內部登入的話，可以關閉它。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。