CVE-2026-53578 in Trilium
Zusammenfassung
von VulDB • 27.08.2026
Trilium ist eine Open-Source-Anwendung zur hierarchischen Notizverwaltung. In den Versionen bis einschließlich 0.103.0 sanitisiert der standardmäßig aktivierte Filter „Safe Import“ (Sicheres Importieren) HTML nur für Textnotizen und schließt den Notiztyp mindMap aus, dessen JSON-Inhalt ohne Sanitization gespeichert wird. Dies ermöglicht es einem Angreifer, in einem importierten Archiv ein Payload einzubetten, die als beliebiges HTML gerendert wird. Ein Knoten einer Mindmap kann eine Eigenschaft dangerouslySetInnerHTML enthalten, die von der Bibliothek Mind Elixir direkt dem innerHTML eines Knotens zugewiesen wird; daher überlebt eine bösartige Notiz den Safe-Import-Prozess und führt Skripte aus, sobald das Opfer die importierte Mindmap öffnet. Auf dem Desktop-Client läuft der Electron-Renderer mit aktivierter Node-Integration, sodass das injizierte JavaScript von Cross-Site Scripting (XSS) zu vollständiger Remote Code Execution (RCE) auf dem Rechner des Opfers eskaliert. Dieses Problem wurde in Version 0.104.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.