🇰🇷 한글 설명
오픈소스 노트 앱인 Trilium의 0.103.0 이하 버전에서 'Safe import' 필터가 노트 제목을 제대로 검증하지 못하는 취약점이 발견되었습니다. 공격자가 악성 스크립트가 포함된 가져오기 아카이브를 통해 GeoMap 뷰에서 스크립트를 실행할 수 있으며, 데스크톱 클라이언트의 경우 Node 통합 기능으로 인해 원격 코드 실행(RCE)까지 가능합니다.
💡 쉬운 설명
나쁜 의도를 가진 파일을 노트 앱으로 불러오면, 지도 화면을 보는 순간 해커가 내 컴퓨터를 마음대로 조종할 수 있는 코드가 실행될 수 있습니다. 이는 노트 제목에 숨겨진 악성 코드가 필터링되지 않고 실행되기 때문에 발생합니다.
🇺🇸 원문 (English)
Trilium is an open-source hierarchical note-taking application. In versions up to and including 0.103.0, the default-on "Safe import" filter does not sanitize note titles, and the GeoMap note view interpolates a marker note's title into raw HTML that is rendered as innerHTML, allowing an attacker-supplied import archive to inject script that runs when the map is displayed. Because Safe import neutralizes scripts but never escapes titles, a note whose title contains an HTML event-handler payload survives the import and executes as soon as the victim opens the GeoMap that renders its marker. On the desktop client the Electron renderer runs with Node integration enabled, so the injected JavaScript escalates from cross-site scripting to full remote code execution on the victim's machine. This issue is fixed in version 0.104.0.
📍 영향받는 시스템
Trilium versions up to and including 0.103.0
⚔️ 공격 벡터
악성 스크립트가 포함된 노트 가져오기(Import) 아카이브를 통한 XSS 및 RCE 공격
🛡️ 대응 방법
Trilium을 0.104.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.104.0보다 낮으면 취약한 상태입니다.
trilium --version 2>/dev/null || echo 'Version check required'