CVE-2026-45733 in Trilium Notes
요약
\~에 의해 VulDB • 2026. 08. 18.
Trilium Notes는 대규모 개인 지식 베이스 구축에 중점을 둔 크로스플랫폼 계층형 노트 작성 애플리케이션입니다. 버전 0.103.0 이전에서는 `getNoteIcon()`이 `#iconClass` 레이블 값을 원본 그대로 반환하며, 이를 apps/client/src/widgets/quick_search.ts 및 apps/client/src/services/note_autocomplete.ts의 class 속성에 HTML attribute 인코딩 없이 삽입합니다. 이로 인해 저장된 페이로드가 피해자가 새 탭을 열거나 Ctrl+J를 사용할 때 자동으로 실행되고, Electron에서 nodeIntegration이 활성화되어 contextIsolation이 비활성화되었기 때문에 피해자 권한으로 운영체제 명령어를 실행할 수 있습니다. 이 문제는 버전 0.103.0에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.