Vulnerabilidad en Trilium de TriliumNext (CVE-2026-35593)

Trilium Notes es una aplicación de toma de notas jerárquica de código abierto y multiplataforma para construir grandes bases de conocimiento personales. Las versiones 0.102.1 y anteriores son vulnerables a la Inclusión Local de Ficheros, permitiendo a un atacante autenticado leer ficheros arbitrarios sensibles del sistema de ficheros del servidor. La función uploadModifiedFileToAttachment, que se llama cuando se recibe una solicitud POST en /api/attachments/{attachmentId}/upload-modified-file, reemplaza el contenido del adjunto con el contenido de otro fichero (cuya ruta se proporciona en filePath del cuerpo de la solicitud). Después de lo cual el contenido del adjunto puede verse en /api/attachments/{attachmentId}/download. Esto expone ficheros de sistema sensibles como claves SSH, credenciales, configuraciones y ficheros del sistema operativo, lo que podría conducir a la ejecución remota de código y al compromiso de aplicaciones co-alojadas. Este problema ha sido solucionado en la versión 0.102.2.