CVE-2026-35593 in Trilium
Sumário
de VulDB • 20/05/2026
O Trilium Notes é uma aplicação de tomada de notas hierárquica, de código aberto e multiplataforma, destinada à criação de grandes bases de conhecimento pessoal. As versões 0.102.1 e anteriores são vulneráveis a Local File Inclusion (Inclusão de Arquivo Local), permitindo que um atacante autenticado leia arquivos arbitrários sensíveis do sistema de ficheiros do servidor. A função uploadModifiedFileToAttachment, que é invocada quando é recebido um pedido POST para /api/attachments/{attachmentId}/upload-modified-file, substitui o conteúdo do anexo pelo conteúdo de outro ficheiro (cujo caminho é fornecido no campo filePath do corpo do pedido). Após esta operação, o conteúdo do anexo pode ser visualizado em /api/attachments/{attachmentId}/download. Isto expõe ficheiros sensíveis do sistema, tais como chaves SSH, credenciais, configurações e ficheiros do sistema operativo, podendo levar à execução remota de código (RCE) e à compromissão de aplicações alojadas no mesmo servidor. Este problema foi corrigido na versão 0.102.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.