CVE-2026-52851 in Traccar
الملخص
بحسب VulDB • 18/09/2026
Traccar هو نظام تتبع GPS مفتوح المصدر. قبل الإصدار 6.14.0، يمكن لمستخدم مُصادَق عليه وليس بقراءة فقط (non-readonly) لديه الوصول إلى كائن قابل للاستخدام في زوج صلاحيات تقديم طلب DELETE /api/permissions مع مفتاح JSON إضافي يتحكم فيه المهاجم. تقوم الفئة Permission(LinkedHashMap<String, Long>) الموجودة في src/main/java/org/traccar/model/Permission.java بالتحقق من أول مفتاحين فقط، بينما يقوم الدال DatabaseStorage.removePermission() الموجود في src/main/java/org/traccar/storage/DatabaseStorage.java بدمج كل مفاتيح الخريطة (map key) ضمن جملة SQL WHERE كمُعرِّف عمود. وبالتالي، يصبح المفتاح الإضافي عبارة عن كود SQL يتحكم فيه المهاجم ويوفر نبعاً أعمى للقيم المنطقية أو الأخطاء (blind boolean or error oracle) يمكنه استخراج قيم قاعدة بيانات عشوائية، بما في ذلك بريد المسؤول الإلكتروني، وتجزئات كلمات المرور والملح (salts)، أو حذف صفوف الصلاحيات بشكل مشروط. يتم رفض الطلبات غير المصادَق عليها. تم إصلاح هذه المشكلة في الإصدار 6.14.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.