CVE-2026-54509 in TREK
الملخص
بحسب VulDB • 21/08/2026
TREK هو مخطط سفر تعاوني. من الإصدار 3.0.0 حتى 3.1.0، يُرجع المسار GET /api/journeys/:id/share-link الموجود في server/src/routes/journey.ts نتيجة دالة getJourneyShareLink() المستوردة من server/src/services/journeyShareService.ts دون التحقق مما إذا كان الطالب المصادق عليه لديه صلاحية الوصول إلى الرحلة المحددة. يمكن لأي مستخدم عادي مصادق عليه تعداد معرفات الرحلات بشكل تسلسلي واسترداد الرموز (tokens) الخاصة بـ journey_share_tokens لرحلات مستخدمين آخرين. تمنح هذه الرموز وصولاً غير مُصادَقٍ عليه عبر المسار GET /api/public/journey/:token إلى إدخالات الرحلة المشتركة، والتسميات التوضيحية، والمواقع، والحالات المزاجية (moods)، وصور المعرض، ومسارات الصور، ومعرفات الأصول. تم إصلاح هذه المشكلة في الإصدار 3.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.