CVE-2026-45733
WysokieCVSS 8.3Streszczenie
Trilium Notes, aplikacja do notatek hierarchicznych, ma podatność XSS w wartości #iconClass, która jest wstawiana bez kodowania atrybutów HTML. Przechowywany payload może wykonać się automatycznie, gdy ofiara otworzy nową kartę lub użyje Ctrl+J, a dzięki włączonemu nodeIntegration i wyłączonemu contextIsolation w Electron, może uruchomić polecenia systemowe. Problem naprawiono w wersji 0.103.0.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia systemowe na koncie ofiary, co może prowadzić do pełnego przejęcia systemu lub kradzieży danych.
Rekomendacja
Zaktualizuj Trilium Notes do wersji 0.103.0 lub nowszej i unikaj otwierania notatek z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
Trilium Notes is a cross-platform, hierarchical note taking application focused on building large personal knowledge bases. Prior to 0.103.0, the #iconClass label value is returned raw by getNoteIcon() and inserted without HTML attribute encoding into class attributes in apps/client/src/widgets/quick_search.ts and apps/client/src/services/note_autocomplete.ts, allowing a stored payload to execute automatically when a victim opens a new tab or uses Ctrl+J and, because Electron enables nodeIntegration and disables contextIsolation, run operating-system commands as the victim. This issue is fixed in version 0.103.0.