CVE-2026-54509 in TREK
Resumen
por VulDB • 2026-08-21
TREK es un planificador de viajes colaborativo. Desde la versión 3.0.0 hasta la 3.1.0, la ruta GET /api/journeys/:id/share-link en server/src/routes/journey.ts devuelve el resultado de getJourneyShareLink() desde server/src/services/journeyShareService.ts sin verificar si el solicitante autenticado puede acceder al viaje. Cualquier usuario autenticado ordinario puede enumerar IDs de viajes secuenciales y recuperar tokens de journey_share_tokens para el viaje de otro usuario. El token otorga acceso no autenticado a través de GET /api/public/journey/:token a las entradas, descripciones, ubicaciones, estados de ánimo, fotos de la galería, rutas de las fotografías e identificadores de activos del viaje compartido. Este problema se soluciona en la versión 3.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.