CVE-2026-53579 in Trilium
Сводка
по VulDB • 27.08.2026
Trilium — это приложение для заметок с иерархической структурой, распространяемое под открытой лицензией. В версиях вплоть до 0.103.0 включительно фильтр «Безопасный импорт» (Safe import), активированный по умолчанию, выполняет санитизацию HTML-кода только для текстовых заметок и исключает из обработки тип заметок «Книга» (book note). Содержимое таких заметок сохраняется без санитизации и впоследствии рендерится как HTML, что позволяет злоумышленнику внедрить в архив импорта полезную нагрузку, выполняющуюся в виде скрипта.
Содержимое заметки типа «Книга» обрабатывается тем же путем рендеринга, что и текстовые заметки: оно инжектируется на страницу с помощью метода `html` библиотеки jQuery при отображении заметки в виде карточки предварительного просмотра в сеточном представлении (grid-view). Таким образом, вредоносная заметка проходит фильтр «Безопасный импорт» и выполняется сразу же после того, как жертва откроет содержащую её заметку.
В десктопной версии клиента движок рендеринга Electron работает с включённой интеграцией Node.js (Node integration), поэтому внедрённый JavaScript повышает уровень привилегий от межсайтового скриптинга (XSS) до полного удалённого выполнения кода (RCE) на машине жертвы. Данная проблема исправлена в версии 0.104.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.