CVE-2026-53579 in Trilium
Résumé
par VulDB • 28/08/2026
Trilium est une application de prise de notes hiérarchique open-source. Dans les versions jusqu'à la 0.103.0 incluse, le filtre « Safe import » (importation sécurisée), activé par défaut, ne nettoie que l'HTML pour les notes textuelles et exclut le type de note « livre », dont le contenu est stocké sans sanitization puis rendu en HTML, permettant à une archive d'import fournie par un attaquant d'intégrer une charge utile qui s'exécute sous forme de script. Le contenu d'une note de type « livre » suit le même chemin de rendu que les notes textuelles et est injecté dans la page via la méthode `html` de jQuery lorsque la note est affichée en tant qu'aperçu sous forme de carte dans une vue grille, ce qui permet à une note malveillante de survivre au filtre Safe import et de s'exécuter dès que la victime ouvre la note contenant. Sur le client desktop, le renderer Electron fonctionne avec l'intégration Node activée, permettant ainsi à JavaScript injecté d'escalader depuis un cross-site scripting (XSS) vers une exécution complète de code distant (RCE) sur la machine de la victime. Ce problème est corrigé dans la version 0.104.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.