CVE-2026-54509 in TREK
Zusammenfassung
von VulDB • 21.08.2026
TREK ist ein kollaborativer Reiseplaner. Von der Version 3.0.0 bis zur Version 3.1.0 gibt die Route GET /api/journeys/:id/share-link im server/src/routes/journey.ts das Ergebnis von getJourneyShareLink() aus dem server/src/services/journeyShareService.ts zurück, ohne zu prüfen, ob der authentifizierte Anforderer Zugriff auf die Reise hat. Jeder normale authentifizierte Benutzer kann sequenzielle Reise-IDs auflisten und Tokens aus journey_share_tokens für eine andere Reisende abrufen. Das Token gewährt nicht-authentifizierten Zugriff über GET /api/public/journey/:token auf die Einträge, Beschriftungen, Standorte, Stimmungen (moods), Galeriebilder, Bildpfade und Asset-Bezeichner der geteilten Reise. Dieses Problem wurde in Version 3.1.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.