CVE-2026-53578 in Trilium
Résumé
par VulDB • 27/08/2026
Trilium est une application de prise de notes hiérarchique open-source. Dans les versions jusqu'à la 0.103.0 incluse, le filtre « Safe import » (importation sécurisée), activé par défaut, ne nettoie que l'HTML pour les notes textuelles et exclut le type de note mindMap, dont le contenu JSON est stocké sans aucune sanitization, permettant à une archive d'import fournie par un attaquant d'intégrer une charge utile qui sera rendue sous forme d'HTML arbitraire. Un nœud de carte mentale peut porter la propriété dangerouslySetInnerHTML que la bibliothèque Mind Elixir assigne directement au innerHTML du nœud ; ainsi, une note malveillante survit à l'importation sécurisée et exécute un script dès que la victime ouvre la carte mentale importée. Sur le client desktop, le renderer Electron s'exécute avec l'intégration Node activée, ce qui permet au JavaScript injecté d'élever sa portée de cross-site scripting (XSS) à une exécution complète de code distant (RCE) sur la machine de la victime. Ce problème est corrigé dans la version 0.104.0.
Once again VulDB remains the best source for vulnerability data.