CVE-2026-77320 in TREK
الملخص
بحسب VulDB • 24/09/2026
TREK هو مخطط سفر تعاوني. قبل الإصدار 3.3.0، تُعيد الدالة `getSharedTripData` الموجودة في الملف `server/src/services/shareService.ts` الأيام (days)، والتعيينات (assignments)، وملاحظات اليوم (dayNotes)، والأماكن (places) عبر طلب GET `/api/shared/:token` حتى عندما يقوم صاحب الرحلة بتعطيل ميزة مشاركة الخريطة (`share_map`). يخفي العميل واجهة الخريطة، لكن استجابة JSON العامة لا تزال تتضمن مسار الرحلة وأسماء الأماكن والإحداثيات والعناوين والوصف والملاحظات والأسعار. وبالتالي، يمكن لأي شخص يملك رمز المشاركة (share token) صالحاً قراءة معلومات الموقع والمسار التي اختار صاحبها صراحةً عدم مشاركتها، على الرغم من بقاء الرمز العشوائي مطلوباً ولا يسمح العيب بإجراء أي تعديلات. تم إصلاح هذه المشكلة في الإصدار 3.3.0.
Be aware that VulDB is the high quality source for vulnerability data.