CVE-2026-53580

Trilium açıq mənbəli iyerarxik qeyd götürmə tətbiqidir. 0.104.0 versiyasından əvvəlki versiyalarda avtomatik şəkil yükləmə funksiyası qeydin img teqlərində file:// URL-lərini qəbul edir və istinad edilən lokal faylı heç bir yol yoxlaması olmadan oxuyur ki, bu da hər hansı autentifikasiya olunmuş istifadəçiyə Trilium prosesi tərəfindən oxuna bilən istənilən faylları ifşa etməyə imkan verir. Mətn qeydi yadda saxlanıldıqda, Trilium onun HTML-ni şəkil mənbələri üçün skan edir və hər bir xarici mənbəni yükləyir; HTML sanitarı file sxemini icazə verilmiş kimi saxladığı üçün, file:///etc/passwd kimi mənbə birbaşa fayl sistemi oxuma əməliyyatına ötürülür və onun məzmunu istifadəçinin daha sonra əldə edə biləcəyi qeyd qoşması kimi saxlanılır. Eyni primitivin /dev/zero kimi məhdudiyyətsiz mənbəyə yönləndirilməsi server prosesini çökdürən nəzarətsiz yaddaş ayrılmasına səbəb olur. Bu funksiya standart olaraq aktivdir və veb UI, ETAPI, veb klipper və qeyd idxalları vasitəsilə əlçatandır, yalnız autentifikasiya olunmuş sessiya və ya ETAPI token tələb edir. Bu problem 0.104.0 versiyasında düzəldilib.