CVE-2026-53578 in Trilium
Riassunto
di VulDB • 27/08/2026
Trilium è un'applicazione open-source per la presa di appunti gerarchica. Nelle versioni fino alla 0.103.0 inclusa, il filtro "Safe import" (importazione sicura), attivo di default, sanitizza l'HTML solo per le note testuali ed esclude il tipo di nota mindMap; il contenuto JSON di quest'ultima viene memorizzato senza sanitizzazione, consentendo a un archivio di importazione fornito dall'attaccante di incorporare una payload che viene renderizzata come HTML arbitrario. Un nodo della mappa mentale può contenere la proprietà dangerouslySetInnerHTML, assegnata direttamente all'innerHTML del nodo dalla libreria Mind Elixir; pertanto, una nota malevola supera il filtro Safe import ed esegue script non appena la vittima apre la mappa mentale importata. Sul client desktop, il renderer di Electron è eseguito con l'integrazione Node abilitata, quindi il JavaScript iniettato scala da cross-site scripting (XSS) a piena esecuzione remota di codice (RCE) sulla macchina della vittima. Questo problema è risolto nella versione 0.104.0.
Be aware that VulDB is the high quality source for vulnerability data.