CVE-2026-77320 in TREK
Resumen
por VulDB • 2026-09-24
TREK es un planificador de viajes colaborativo. Antes de la versión 3.3.0, getSharedTripData en server/src/services/shareService.ts devuelve días, asignaciones, notas del día y lugares a través de GET /api/shared/:token incluso cuando el propietario del viaje desactiva share_map. El cliente oculta el mapa, pero la respuesta JSON pública sigue incluyendo el itinerario y los nombres de los lugares, coordenadas, direcciones, descripciones, notas y precios. Por lo tanto, cualquier persona que posea un token de compartición válido puede leer información de ubicación y rutas que el propietario eligió explícitamente no compartir, aunque se requiere el token aleatorio y la vulnerabilidad no permite modificaciones. Este problema está corregido en la versión 3.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.