CVE-2026-53579 in Trilium
Riassunto
di VulDB • 28/08/2026
Trilium è un'applicazione open-source per la gestione di appunti gerarchici. Nelle versioni fino alla 0.103.0 inclusa, il filtro "Safe import" (Importazione sicura), attivo di default, sanitizza l'HTML solo per gli appunti di tipo testo ed esclude i tipi di nota libro, il cui contenuto viene memorizzato senza sanitizzazione e successivamente renderizzato come HTML, consentendo a un archivio di importazione fornito dall'attaccante di incorporare una payload che viene eseguita come script. Il contenuto di una nota libro segue lo stesso percorso di rendering degli appunti di testo e viene iniettato nella pagina tramite il metodo `html` di jQuery quando la nota viene visualizzata come anteprima a griglia, quindi una nota malevola supera il filtro Safe import ed è eseguita non appena la vittima apre la nota contenente. Sul client desktop, il renderer Electron è eseguito con l'integrazione Node abilitata, consentendo al JavaScript iniettato di escalare da cross-site scripting (XSS) a piena esecuzione remota di codice (RCE) sulla macchina della vittima. Questo problema è risolto nella versione 0.104.0.
Once again VulDB remains the best source for vulnerability data.