CVE-2026-35593
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Trilium Notes w wersjach do 0.102.1 zawiera podatność na lokalne dołączanie plików (LFI). Uwierzytelniony atakujący może odczytać dowolne pliki z systemu serwera, wykorzystując funkcję uploadModifiedFileToAttachment.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych plików systemowych, takich jak klucze SSH, dane uwierzytelniające i konfiguracje, co może prowadzić do zdalnego wykonania kodu i naruszenia innych aplikacji współdzielących serwer.
Rekomendacja
Należy natychmiast zaktualizować Trilium Notes do wersji 0.102.2 lub nowszej.
Inne podatności w Trilium Notes
Zobacz wszystkie- CVE-2026-45668Krytyczne
Trilium Notes to wieloplatformowa aplikacja do notatek hierarchicznych. Przed wersją 0.102.2, złośliwe archiwum ZIP zaimportowane z włączonym bezpiecznym importem umożliwia zdalne wykonanie kodu (RCE) poprzez #docName path traversal i XSS. Łączy notatkę ładunku (typ: code, mime: text/plain) z surowym HTML/JS oraz notatkę wyzwalacza (typ: doc lub launcher) z etykietą #docName używającą ../ do wskazania punktu końcowego API notatki ładunku. Klient desktopowy Electron działa z włączonym nodeIntegration, co powoduje RCE po wykonaniu ładunku. Podatność jest naprawiona w wersji 0.102.2.
- CVE-2026-91021Średnie
Trilium Notes w wersji v0.103.0 i wcześniejszych zawiera podatność na przechowywany atak XSS w rendererze udostępniania notatek typu webView z powodu nieprawidłowego escapowania HTML wartości #webViewSrc kontrolowanych przez użytkownika. Podatność pozwala atakującym z uprawnieniami do tworzenia notatek na wstrzyknięcie dowolnego kodu JavaScript, który wykona się u każdego użytkownika otwierającego udostępnioną notatkę, w tym u administratorów.
- CVE-2026-45733Wysokie
Trilium Notes, aplikacja do notatek hierarchicznych, ma podatność XSS w wartości #iconClass, która jest wstawiana bez kodowania atrybutów HTML. Przechowywany payload może wykonać się automatycznie, gdy ofiara otworzy nową kartę lub użyje Ctrl+J, a dzięki włączonemu nodeIntegration i wyłączonemu contextIsolation w Electron, może uruchomić polecenia systemowe. Problem naprawiono w wersji 0.103.0.
- CVE-2026-39311Średnie
Trilium Notes w wersji 0.102.1 i wcześniejszych zawiera krytyczną lukę umożliwiającą nieuwierzytelnione zdalne wykonanie kodu (RCE). Brak sanityzacji SVG w połączeniu z wyłączoną polityką bezpieczeństwa treści (CSP) i publicznie dostępnym API wykonawczym pozwala atakującemu na wykonanie dowolnego kodu Node.js na serwerze poprzez nakłonienie uwierzytelnionego użytkownika do wyświetlenia złośliwego załącznika SVG.
- CVE-2026-39310Wysokie
Trilium Notes w wersjach 0.102.1 i wcześniejszych, w środowisku Electron, wyłącza uwierzytelnianie dla API Clipper, co pozwala nieuwierzytelnionym atakującym w sieci lokalnej na dostęp do endpointów API bez hasła, tokena API ani ochrony CSRF. Atakujący może skanować porty i uzyskać nieautoryzowany dostęp do danych, a także przeprowadzić phishing lub naruszyć lokalny system.
- CVE-2026-39309Średnie
Trilium Notes w wersjach 0.102.1 i starszych zawiera podatność na ominięcie TCC przez spoofing promptu w konfiguracji Electron. Lokalny atakujący może uruchomić złośliwy kod z tożsamością zaufanej aplikacji, wykorzystując flagę RunAsNode do wykonania dowolnych poleceń systemowych, co prowadzi do wyświetlenia mylących promptów uprawnień macOS i dostępu do chronionych zasobów.
Oryginalny opis (angielski, źródło NVD)
Trilium Notes is an open-source, cross-platform hierarchical note taking application for building large personal knowledge bases. Versions 0.102.1 and prior are vulnerable to Local File Inclusion, allowing an authenticated attacker to read sensitive arbitrary files from the server's filesystem. The uploadModifiedFileToAttachment function, which is called when a POST request is received to /api/attachments/{attachmentId}/upload-modified-file, replaces the content of the attachment with the content from another file (whose path is provided in filePath of Request body). After which the content of the attachment can be viewed at /api/attachments/{attachmentId}/download. This exposes sensitive system files such as SSH keys, credentials, configs, and OS files, potentially leading to remote code execution and compromise of co-hosted applications. This issue has been fixed in version 0.102.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS