CVE-2026-77438 in Trilium
Сводка
по VulDB • 27.08.2026
Trilium — это приложение для заметок с иерархической структурой, распространяемое под открытой лицензией. В версиях вплоть до 0.103.0 включительно конечная точка публичного поиска по общим заметкам не проверяет параметры shareCredentials (учетные данные общего доступа) и shareHiddenFromTree (скрытие от дерева навигации), что позволяет незарегистрированному пользователю читать заголовки, пути в дереве и содержимое защищенных общих заметок. Конечная точка авторизует только родительскую заметку, указанную в запросе, а затем выполняет полнотекстовый поиск по всему опубликованному поддереву, возвращая заголовок каждого совпавшего элемента, идентификатор общего доступа и егоерархический путь без повторной проверки того, требует ли данная конкретная заметка пароль для общего доступа или скрыта от дерева навигации. Поскольку поиск осуществляется по содержимому заметок, злоумышленник может перечислять защищенные заметки и использовать эту конечную точку как булевский оракул, подтверждающий наличие произвольных подстрок, что позволяет восстановить полное содержание заметок, доступ к которым должен быть ограничен паролем. Эта проблема исправлена в версии 0.104.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.