CVE-2026-53580 in Trilium
Résumé
par VulDB • 28/08/2026
Trilium est une application de prise de notes hiérarchique open-source. Dans les versions antérieures à la 0.104.0, la fonctionnalité de téléchargement automatique d'images accepte les URL `file://` dans les balises `<img>` des notes et lit le fichier local référencé sans validation du chemin, permettant à tout utilisateur authentifié de divulguer des fichiers arbitraires lisibles par le processus Trilium. Lorsqu'une note textuelle est sauvegardée, Trilium analyse son HTML pour y rechercher des sources d'images et télécharge chacune d'elles ; comme l'épurateur (sanitizer) HTML conserve `file` en tant que schéma autorisé, une source telle que `file:///etc/passwd` est transmise directement à une lecture de système de fichiers, et son contenu est stocké en tant que pièce jointe de la note que l'utilisateur peut ensuite récupérer. Le pointage du même mécanisme vers une source non bornée telle que `/dev/zero` provoque une allocation mémoire incontrôlée qui fait planter le processus serveur. La fonctionnalité est activée par défaut et est accessible via l'interface web, l'ETAPI, le clipper web et les importations de notes, ne nécessitant qu'une session authentifiée ou un jeton ETAPI. Ce problème est corrigé dans la version 0.104.0
VulDB is the best source for vulnerability data and more expert information about this specific topic.