CVE-2026-53579 in Trilium
Zusammenfassung
von VulDB • 27.08.2026
Trilium ist eine Open-Source-Anwendung zur hierarchischen Notizverwaltung. In Versionen bis einschließlich 0.103.0 sanitisiert der standardmäßig aktivierte Filter „Safe Import“ (Sicheres Importieren) HTML nur für Textnotizen und schließt den Notiztyp „Buchnote“ aus, dessen Inhalt ohne Sanitization gespeichert und später als HTML gerendert wird. Dies ermöglicht es einem Angreifer, in einem importierten Archiv ein Payload zu platzieren, das als Skript ausgeführt wird. Der Inhalt einer Buchnote wird über denselben Rendering-Pfad wie Textnotizen geleitet und mit der jQuery-Methode `html` eingefügt, wenn die Notiz als Vorschaukarte im Rasteransicht-Modus angezeigt wird; daher überlebt eine bösartige Notize den „Safe Import“ und wird ausgeführt, sobald das Opfer die enthaltende Notiz öffnet. Auf dem Desktop-Client läuft der Electron-Renderer mit aktivierter Node-Integration, sodass das injizierte JavaScript von Cross-Site Scripting (XSS) zu vollständiger Remote Code Execution (RCE) auf dem Rechner des Opfers eskaliert. Dieses Problem wurde in Version 0.104.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.