CVE-2026-91021
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Trilium Notes w wersji v0.103.0 i wcześniejszych zawiera podatność na przechowywany atak XSS w rendererze udostępniania notatek typu webView z powodu nieprawidłowego escapowania HTML wartości #webViewSrc kontrolowanych przez użytkownika. Podatność pozwala atakującym z uprawnieniami do tworzenia notatek na wstrzyknięcie dowolnego kodu JavaScript, który wykona się u każdego użytkownika otwierającego udostępnioną notatkę, w tym u administratorów.
Ocena ryzyka
Atak XSS może prowadzić do przejęcia sesji administratora, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście ofiary, co stanowi poważne zagrożenie dla poufności i integralności systemu.
Rekomendacja
Zaleca się aktualizację Trilium Notes do wersji zawierającej poprawkę oraz unikanie otwierania nieznanych udostępnionych notatek do czasu wdrożenia aktualizacji.
Inne podatności w Trilium Notes
Zobacz wszystkie- CVE-2026-45668Krytyczne
Trilium Notes to wieloplatformowa aplikacja do notatek hierarchicznych. Przed wersją 0.102.2, złośliwe archiwum ZIP zaimportowane z włączonym bezpiecznym importem umożliwia zdalne wykonanie kodu (RCE) poprzez #docName path traversal i XSS. Łączy notatkę ładunku (typ: code, mime: text/plain) z surowym HTML/JS oraz notatkę wyzwalacza (typ: doc lub launcher) z etykietą #docName używającą ../ do wskazania punktu końcowego API notatki ładunku. Klient desktopowy Electron działa z włączonym nodeIntegration, co powoduje RCE po wykonaniu ładunku. Podatność jest naprawiona w wersji 0.102.2.
- CVE-2026-45733Wysokie
Trilium Notes, aplikacja do notatek hierarchicznych, ma podatność XSS w wartości #iconClass, która jest wstawiana bez kodowania atrybutów HTML. Przechowywany payload może wykonać się automatycznie, gdy ofiara otworzy nową kartę lub użyje Ctrl+J, a dzięki włączonemu nodeIntegration i wyłączonemu contextIsolation w Electron, może uruchomić polecenia systemowe. Problem naprawiono w wersji 0.103.0.
- CVE-2026-39311Średnie
Trilium Notes w wersji 0.102.1 i wcześniejszych zawiera krytyczną lukę umożliwiającą nieuwierzytelnione zdalne wykonanie kodu (RCE). Brak sanityzacji SVG w połączeniu z wyłączoną polityką bezpieczeństwa treści (CSP) i publicznie dostępnym API wykonawczym pozwala atakującemu na wykonanie dowolnego kodu Node.js na serwerze poprzez nakłonienie uwierzytelnionego użytkownika do wyświetlenia złośliwego załącznika SVG.
- CVE-2026-39310Wysokie
Trilium Notes w wersjach 0.102.1 i wcześniejszych, w środowisku Electron, wyłącza uwierzytelnianie dla API Clipper, co pozwala nieuwierzytelnionym atakującym w sieci lokalnej na dostęp do endpointów API bez hasła, tokena API ani ochrony CSRF. Atakujący może skanować porty i uzyskać nieautoryzowany dostęp do danych, a także przeprowadzić phishing lub naruszyć lokalny system.
- CVE-2026-39309Średnie
Trilium Notes w wersjach 0.102.1 i starszych zawiera podatność na ominięcie TCC przez spoofing promptu w konfiguracji Electron. Lokalny atakujący może uruchomić złośliwy kod z tożsamością zaufanej aplikacji, wykorzystując flagę RunAsNode do wykonania dowolnych poleceń systemowych, co prowadzi do wyświetlenia mylących promptów uprawnień macOS i dostępu do chronionych zasobów.
- CVE-2026-35593Średnie
Trilium Notes w wersjach do 0.102.1 zawiera podatność na lokalne dołączanie plików (LFI). Uwierzytelniony atakujący może odczytać dowolne pliki z systemu serwera, wykorzystując funkcję uploadModifiedFileToAttachment.
Oryginalny opis (angielski, źródło NVD)
Trilium Notes, version v0.103.0 and earlier, contains a stored cross-site scripting (XSS) vulnerability in the share renderer for webView notes due to improper HTML escaping of user-controlled #webViewSrc values. This vulnerability allows attackers with note-authoring privileges to inject arbitrary JavaScript that executes for any user who opens the shared note, including administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS