CVE-2026-45668

总结

Trilium Notes 是一款跨平台的分层笔记应用，专注于构建大型个人知识库。在 0.102.2 版本之前，在启用安全导入的情况下导入恶意 ZIP 压缩包，可通过 #docName 路径遍历实现 RCE，并结合包含原始 HTML/JS 的载荷笔记（类型：code，mime：text/plain）与带有 #docName 标签（使用 ../ 路径遍历指向载荷笔记的 API 端点）的触发笔记（类型：doc 或类型：launcher）实现 XSS。桌面客户端 Electron 渲染器在启用 nodeIntegration 的情况下运行，因此一旦载荷被执行便会触发 RCE。该漏洞已在 0.102.2 版本中修复。

• 1day-archive研究

  对最近披露的 CVE 进行技术深度剖析和根本原因分析——逆向工程补丁、构建概念验证（PoC），并在 1 天窗口期内记录利用技术。