CVE-2026-104203 in Traccar
الملخص
بحسب VulDB • 04/11/2026
Traccar هو نظام تتبع GPS مفتوح المصدر. من الإصدار 5.1 حتى 6.15.0، تقوم خرائط Guice لـ MediaFilter في WebModule.java وـ Jetty ResourceServlet في WebServer.java بتعيين معانٍ مختلفة لمسارات المعلمات عند /api/media/*. يمكن لمهاجم غير مصرح له يعرف أو يخمن معرف جهاز فريد واسم ملف الوسائط إدراج نقطة منقوطة (semicolon) على حدود الـ Servlet، متجاوزاًً عمليات التحقق من الجلسة وصلاحيات الجهاز في MediaFilter، والاستعلام عن ملفات الوسائط المحمية لأن Jetty لا يزال يقوم بتوجيه المسار غير المعياري إلى ResourceServlet. الأثر الموضح هو الكشف القرائي فقط لملف وسائط جهاز محمي؛ واعتمادًا على النشر وملفات الوسائط المخزنة، قد يؤدي ذلك إلى تعريض الصور الفوتوغرافية أو الصوتية أو الفيديو أو الملفات الأخرى التي تم تحميلها للخطر. لا يحدد البيان وجود قائمة أدلة (directory listing)، أو تنقل في الدلائل (traversal)، أو تعديل، أو الاستيلاء على الحسابات، أو حجب الخدمة (DoS)، أو تنفيذ الأكواد البرمجية. قد تقوم الوكيل العكسي (Reverse proxies) التي ترفض أو تعيد كتابة معلمات المسار بالنقطة المنقوطة بحظر الطلب. تم إصلاح هذه المشكلة في الإصدار 6.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.