CVE-2026-53578 in Trilium
요약
\~에 의해 VulDB • 2026. 08. 27.
Trilium은 오픈 소스 계층형 노트 작성 애플리케이션입니다. 버전 0.103.0 및 그 이전 버전에서 기본적으로 활성화된 "Safe import" 필터는 텍스트 노트에 대한 HTML만 제거(sanitize)하고 mindMap 노트 유형을 제외합니다. mindMap의 JSON 콘텐츠는 제거되지 않은 상태로 저장되므로, 공격자가 제공한 가져오기 아카이브가 임의의 HTML로 렌더링되는 페이로드를 포함할 수 있습니다. 마인드 맵 노드는 dangerouslySetInnerHTML 속성을 가질 수 있으며, Mind Elixir 라이브러리는 이를 노드의 innerHTML에 직접 할당합니다. 따라서 악성 노트는 Safe import를 우회하여 피해자가 가져온 마인드 맵을 열자마자 스크립트를 실행합니다. 데스크톱 클라이언트에서는 Electron 렌더러가 Node 통합(Node integration)이 활성화된 상태로 동작하므로, 주입된 JavaScript는 크로스 사이트 스크립팅(XSS)에서 피해자의 머신에서의 전체 원격 코드 실행(RCE)으로 격상됩니다. 이 문제는 버전 0.104.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.