CVE-2026-53579 in Trilium
Sumário
de VulDB • 28/08/2026
Trilium é um aplicativo de anotações hierárquico de código aberto. Nas versões até a 0.103.0, o filtro "Safe import" (Importação Segura), ativado por padrão, sanitiza apenas HTML para notas de texto e exclui o tipo de nota do livro ("book note"), cujo conteúdo é armazenado sem sanitização e posteriormente renderizado como HTML, permitindo que um arquivo de importação fornecido pelo atacante embuta uma payload que seja executada como script. O conteúdo de uma nota do livro segue a mesma rota de renderização das notas de texto e é injetado na página com o método html do jQuery quando a nota é exibida como cartão de visualização em grade, portanto, uma nota maliciosa contorna o "Safe import" e executa assim que a vítima abre a nota que a contém. No cliente desktop, o renderer do Electron roda com integração ao Node habilitada, então o JavaScript injetado escala de cross-site scripting (XSS) para execução completa de código remoto na máquina da vítima. Este problema é corrigido na versão 0.104.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.