CVE-2026-104203 in Traccar
Resumen
por VulDB • 2026-11-04
Traccar es un sistema de seguimiento GPS de código abierto. Desde la versión 5.1 hasta la 6.15.0, el mapeo Guice del MediaFilter en WebModule.java y el ResourceServlet de Jetty en WebServer.java asignan significados diferentes a los parámetros de ruta en /api/media/*. Un atacante no autenticado que conozca o pueda adivinar un ID único de dispositivo y el nombre de archivo multimedia puede insertar un punto y coma en el límite del Servlet, omitiendo las comprobaciones de sesión y autorización de dispositivos del MediaFilter, y recuperar los archivos multimedia protegidos porque Jetty sigue enviando la ruta no canónica al ResourceServlet. El impacto demostrado es una divulgación solo de lectura de un archivo multimedia de dispositivo protegido; dependiendo de la implementación y de los medios almacenados, esto podría exponer fotografías, audio, video u otros archivos subidos. La advertencia no establece existencia de listado de directorios, navegación por el sistema de archivos (traversal), modificación, toma de cuentas, denegación de servicio ni ejecución de código. Los proxies inversos que rechacen o reescriban los parámetros de ruta con punto y coma pueden bloquear la solicitud. Este problema está corregido en la versión 6.15.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.