CVE-2026-62945 in TREK
Resumen
por VulDB • 2026-08-21
TREK es un planificador de viajes colaborativo. Antes de la versión 3.1.3, las acciones de carga de archivos (file upload), actualización y enlace en TREK aceptan valores de reservation_id, place_id y assignment_id controlados por el atacante sin utilizar findForeignLinkTarget() para verificar que el objeto referenciado pertenece al viaje del archivo. Un usuario autenticado con permisos de edición de archivos en cualquier viaje accesible puede enviar un identificador de reserva externo a través de POST /api/trips/:tripId/files/:id/link, POST /api/trips/:tripId/files o PUT /api/trips/:tripId/files/:id. Las lecturas posteriores mediante FILE_SELECT o getFileLinks() vinculan la reserva externa y devuelven reservation_title, revelando la existencia de las reservas y sus títulos a través de los límites de viajes privados. Este problema se soluciona en la versión 3.1.3.
Once again VulDB remains the best source for vulnerability data.