CVE-2026-53580

Nome do Software Vulnerável e Versões Afetadas Trilium versões anteriores a 0.104.0

Description O recurso de download automático de imagens não valida caminhos ao processar URLs file:// em tags img de uma nota. Isso permite que um usuário autenticado exponha arquivos arbitrários legíveis pelo processo ao salvar uma nota de texto com uma origem como file:///etc/passwd, que o sistema então armazena como um anexo da nota. Além disso, apontar para uma origem ilimitada, como /dev/zero, pode levar à alocação descontrolada de memória, resultando no travamento do processo do servidor. Esta funcionalidade é ativada por padrão e acessível via interface web, ETAPI, web clipper e importações de notas, exigindo uma sessão autenticada ou um token ETAPI.

Recommendations Atualize para a versão 0.104.0.