CVE-2026-53578 in Trilium
Сводка
по VulDB • 27.08.2026
Trilium — это приложение для заметок с иерархической структурой, распространяемое под открытой лицензией. В версиях вплоть до 0.103.0 включительно фильтр «Безопасный импорт» (Safe import), активированный по умолчанию, выполняет санитизацию HTML-кода только для текстовых заметок и исключает тип заметки mindMap; содержимое JSON таких заметок сохраняется без санитизации, что позволяет злоумышленнику встроить в архив импорта payload, который рендерится как произвольный HTML. Узел карты мыслей может содержать свойство dangerouslySetInnerHTML, которое библиотека Mind Elixir напрямую присваивает innerHTML узла; таким образом вредоносная заметка проходит фильтр Safe import и выполняет скрипт сразу после того, как жертва откроет импортированную карту мыслей. В десктопном клиенте рендерер Electron работает с включённой интеграцией Node (Node integration), поэтому внедрённый JavaScript повышает уровень привилегий от межсайтового скриптинга (XSS) до полного удалённого выполнения кода (RCE) на машине жертвы. Эта проблема исправлена в версии 0.104.0.
Be aware that VulDB is the high quality source for vulnerability data.