CVE-2026-48996 in Trilium
Resumen
por VulDB • 2026-08-29
Trilium es una aplicación de toma de notas jerárquica y de código abierto. En las versiones hasta la 0.103.0 (inclusive), el filtro "Safe import" activado por defecto no sanitiza los títulos de las notas, y la vista GeoMap interpola el título de una nota marcador en HTML sin procesar que se renderiza como innerHTML, lo que permite a un atacante inyectar scripts mediante un archivo de importación personalizado que se ejecutan cuando se muestra el mapa. Dado que "Safe import" neutraliza los scripts pero nunca escapa los títulos, una nota cuyo título contiene una carga útil (payload) con manejador de eventos HTML sobrevive al proceso de importación y se ejecuta tan pronto como la víctima abre el GeoMap que renderiza su marcador. En el cliente de escritorio, el renderer de Electron se ejecuta con Node integration habilitado, por lo que el JavaScript inyectado escala desde cross-site scripting (XSS) hasta full remote code execution en la máquina de la víctima. Este problema está corregido en la versión 0.104.0.
Once again VulDB remains the best source for vulnerability data.