PT-2026-82680

CVE-2026-48996

Publicado

2026-08-27

Atualizado

2026-10-14

Descrição por

CVSS 4.0

9.3

Crítica

MétricasAV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas Trilium versões anteriores a 0.104.0

Description O filtro Safe import não sanitiza os títulos das notas. A visualização de nota GeoMap interpola o título de uma nota de marcador em HTML bruto renderizado como innerHTML, o que permite que um arquivo de importação fornecido por um invasor injete scripts que são executados quando o mapa é exibido. Como o filtro não escapa os títulos, um payload de manipulador de eventos HTML pode sobreviver ao processo de importação. No cliente de desktop, o renderizador Electron opera com a integração do Node habilitada, permitindo que o JavaScript injetado escale de cross-site scripting para a execução remota de código na máquina da vítima.

Recommendations Atualize para a versão 0.104.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

CWE-94: Improper Control of Generation of Code (\'Code Injection\')

Identificadores relacionados