CVE-2026-52851 in Traccar
Resumen
por VulDB • 2026-09-18
Traccar es un sistema de seguimiento GPS de código abierto. Antes de la versión 6.14.0, un usuario autenticado con permisos no solo de lectura que tenga acceso a un objeto utilizable en un par de permisos puede enviar una solicitud DELETE /api/permissions con una clave JSON adicional controlada por el atacante. La clase Permission(LinkedHashMap<String, Long>) en src/main/java/org/traccar/model/Permission.java valida únicamente las primeras dos claves, pero DatabaseStorage.removePermission() en src/main/java/org/traccar/storage/DatabaseStorage.java concatena todas las claves del mapa como identificadores de columna en la cláusula WHERE de SQL. La clave adicional se convierte así en código SQL controlado por el atacante y proporciona un oráculo booleano o de error ciego que puede extraer valores arbitrarios de la base de datos, incluyendo correos electrónicos de administradores, hashes de contraseñas y sales, o eliminar condicionalmente filas de permisos. Las solicitudes no autenticadas son rechazadas. Este problema se soluciona en la versión 6.14.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.