CVE-2026-53579 in Trilium
要約
〜によって VulDB • 2026年08月27日
Triliumは、オープンソースの階層型ノートアプリケーションです。バージョン0.103.0以前では、デフォルトで有効になっている「Safe import」フィルタがHTMLをテキストノートのみに限ってサニタイズし、ブックノートタイプ（その内容はサニタイズされずに保存され、後にHTMLとしてレンダリングされる）から除外しています。これにより、攻撃者が用意したインポートアーカイブにスクリプトとして実行されるペイロードを埋め込むことが可能になります。ブックノートのコンテンツはテキストノートと同じレンダリングパスを通り、ノートがグリッドビューのプレビューカードとして表示されるときにjQueryのhtmlメソッドを使用してページに挿入されます。そのため、「Safe import」を回避した悪意のあるノートは、被害者が関連するノートを開いた直ちに実行されます。デスクトップクライアントではElectronレンダラーでNode統合が有効になっているため、注入されたJavaScriptはクロスサイトスクリプティングから被害者のマシン上での完全なリモートコード実行へとエスカレートします。この問題はバージョン0.104.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.