結論
CVE-2026-45668は、Trilium Notesにおけるリモートコード実行（RCE）の脆弱性です。この脆弱性は、特定のバージョン以前のユーザーに影響を及ぼし、悪意のあるZIPアーカイブをインポートすることで悪用される可能性があります。利用者は、最新バージョンへのアップデートを行うことが推奨されます。
この記事の要点
- Trilium Notesのバージョン0.102.2以前に存在する脆弱性
- 悪意のあるZIPアーカイブによるRCEの可能性
- ペイロードノートとトリガーノートの組み合わせによる攻撃
- 最新バージョン0.102.2で修正済み
脆弱性の概要
Trilium Notesは、個人の知識ベースを構築することに焦点を当てたクロスプラットフォームの階層的なノート作成アプリケーションです。バージョン0.102.2以前では、安全なインポートが有効な状態で悪意のあるZIPアーカイブをインポートすることで、#docNameパスのトラバーサルを利用してリモートコード実行（RCE）を引き起こし、ペイロードノート（タイプ: コード、MIME: text/plain）に生のHTML/JSを含め、トリガーノート（タイプ: docまたはタイプ: launcher）に#docNameラベルを使用して../パスのトラバーサルを行い、ペイロードノートのAPIエンドポイントを指すことが可能でした。デスクトップクライアントのElectronレンダラーはnodeIntegrationが有効なため、ペイロードが実行されるとRCEがトリガーされます。この脆弱性は0.102.2で修正されています。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-45668 |
| 公開日 | 2026-05-29T18:17:11.917000Z |
| 対象システム | Trilium Notes 0.102.2以前 |
| 脆弱性の種類 | リモートコード実行（RCE） |
| CVSSスコア | 9.3 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- Trilium Notesを使用している場合、バージョン0.102.2以降にアップデートする。
- 不審なZIPアーカイブのインポートを避ける。
- セキュリティパッチや更新情報を定期的に確認する。
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-45668
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-45668
- security-advisories@github.com：https://github.com/TriliumNext/Trilium/security/advisories/GHSA-9jjc-cccq-f6rh
対象システムと影響範囲
Trilium Notesのバージョン0.102.2以前を使用しているユーザーが影響を受けます。特に、悪意のあるZIPアーカイブをインポートすることで、リモートコード実行のリスクがあります。
被害内容
悪用された場合、攻撃者はリモートでコードを実行し、システムに対する完全な制御を取得する可能性があります。これにより、データの漏洩やシステムの改ざんが発生する恐れがあります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
Trilium Notesの最新バージョンである0.102.2にアップデートすることが推奨されます。これにより、脆弱性が修正されます。
FAQ
Q1. どの製品が影響を受けますか？
Trilium Notesのバージョン0.102.2以前を使用しているユーザーが影響を受けます。
Q2. まず何をすればよいですか？
Trilium Notesを最新バージョンにアップデートすることが最初に行うべきことです。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント