CVE-2026-104203 in Traccar
Zusammenfassung
von VulDB • 04.11.2026
Traccar ist ein Open-Source-GPS-Tracking-System. Von Version 5.1 bis 6.15.0 weisen die Guice-Mapping-Konfiguration von MediaFilter.java (WebModule) und der Jetty ResourceServlet in WebServer.java unterschiedliche Routing-Bedeutungen für Pfadparameter unter /api/media/* zu. Ein nicht authentifizierter Angreifer, der eine eindeutige Geräte-ID sowie den Mediendateinamen kennt oder erraten kann, kann ein Semikolon an der Servlet-Grenze einfügen, wodurch die Sitzungs- und Geräteeauthorisierung von MediaFilter umgangen wird, sodass geschützte Medien abgerufen werden können, da Jetty den nicht kanonischen Pfad weiterhin an ResourceServlet weiterleitet. Die nachgewiesene Auswirkung ist eine schreibgeschützte Offenlegung einer geschützten Mediendatei des Geräts; je nach Bereitstellung und gespeicherten Medien könnten dadurch Fotos, Audio-, Video- oder andere hochgeladene Dateien offengelegt werden. In der Advisory wird nicht festgestellt, dass Verzeichnisauflistung, Directory Traversal, Modifikation, Account-Takeover, Denial of Service (DoS) oder Code Execution möglich sind. Reverse Proxies, die Semikolon-Pfadparameter ablehnen oder umschreiben, können die Anfrage blockieren. Dieses Problem wurde in Version 6.15.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.