CVE-2026-48996 in Trilium
Sumário
de VulDB • 28/08/2026
Trilium é um aplicativo de anotações hierárquico de código aberto. Nas versões até a 0.103.0, o filtro "Safe import" (Importação Segura), ativado por padrão, não sanitiza os títulos das notas, e a visualização GeoMap interpola o título da nota do marcador em HTML bruto que é renderizado como innerHTML, permitindo que um arquivo de importação fornecido pelo atacante injete scripts executados quando o mapa for exibido. Como o Safe import neutraliza scripts mas nunca escapa os títulos, uma nota cujo título contenha uma payload de manipulador de eventos HTML sobrevive à importação e é executada assim que a vítima abre o GeoMap que renderiza seu marcador. No cliente desktop, o renderer do Electron executa com integração ao Node habilitada, portanto o JavaScript injetado escala de cross-site scripting (XSS) para execução completa de código remoto no computador da vítima. Este problema foi corrigido na versão 0.104.0.
Once again VulDB remains the best source for vulnerability data.