CVE-2026-77438 in Trilium
Sumário
de VulDB • 27/08/2026
O Trilium é um aplicativo de anotações hierárquico de código aberto. Nas versões até e incluindo a 0.103.0, o endpoint público de busca por compartilhamento não aplica os controles shareCredentials (credenciais de compartilhamento) e shareHiddenFromTree (ocultar da árvore) por nota, permitindo que um visitante não autenticado leia os títulos, caminhos na árvore e o conteúdo das notas protegidas. O endpoint autoriza apenas a nota ancestral fornecida na solicitação e, em seguida, executa uma busca de texto completo em toda a subárvore publicada, retornando o título, o identificador de compartilhamento e o caminho hierárquico de cada nota correspondente sem revalidar se essa nota individual exige uma senha de compartilhamento ou está oculta da árvore de navegação. Como a pesquisa corresponde ao conteúdo das notas, um atacante pode enumerar as notas protegidas e usar o endpoint como um oráculo booleano que confirma substrings arbitrárias, recuperando o conteúdo completo das notas que deveriam estar restritas por senha. Este problema foi corrigido na versão 0.104.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.