CVE-2026-39311

Trilium Notes, büyük kişisel bilgi tabanları oluşturmaya odaklanan platformlar arası, hiyerarşik bir not alma uygulamasıdır. 0.102.1 ve önceki sürümler; SVG temizleme işleminin eksikliğinin, devre dışı bırakılmış bir İçerik Güvenliği Politikası (CSP) ve herkese açık olarak erişilebilen bir arka uç yürütme API'si ile birleşmesi sonucunda kimlik doğrulaması gerektirmeyen bir Uzaktan Kod Çalıştırma (RCE) ile sonuçlanan kritik bir güvenlik açığı içermektedir. Zafiyet, tasarım gereği güvensiz olan bir mimariden kaynaklanmaktadır: Trilium, SVG eklerini herhangi bir temizleme işlemi yapmadan image/svg+xml MIME türünde sunmakta ve Helmet'in İçerik Güvenliği Politikası ara yazılımını açıkça devre dışı bırakarak sunulan varlıklarda betik çalıştırılmasına karşı temel savunmayı kaldırmaktadır. Kötü niyetli SVG, Aynı Köken Politikası (Same-Origin Policy) altında çalıştığından, belge gövdesinden csrfToken değerini çıkarmak için fetch('/') isteği gönderebilir. Bu belirteçle, sunucuda rastgele Node.js kodu çalıştırmak için /api/script/exec adresine imzalı bir istek gönderebilir. Bir saldırgan, kimliği doğrulanmış bir kullanıcıyı paylaşılan bir SVG ekini görüntülemeye ikna ederek tüm sunucu örneğini ele geçirebilir. Sorun 0.102.2 sürümünde düzeltilmiştir.