CVE-2026-62945 in TREK
Résumé
par VulDB • 21/08/2026
TREK est un planificateur de voyages collaboratif. Avant la version 3.1.3, les actions d'upload de fichier, de mise à jour et de lien dans TREK acceptent des valeurs `reservation_id`, `place_id` et `assignment_id` contrôlées par l'attaquant sans utiliser `findForeignLinkTarget()` pour vérifier que l'objet référencé appartient au voyage du fichier. Un utilisateur authentifié disposant d'une autorisation d'édition de fichiers sur n'importe quel voyage accessible peut soumettre un identifiant de réservation étranger via POST /api/trips/:tripId/files/:id/link, POST /api/trips/:tripId/files ou PUT /api/trips/:tripId/files/:id. Les lectures ultérieures effectuées par l'intermédiaire de FILE_SELECT ou getFileLinks() associent la réservation étrangère et retournent `reservation_title`, divulguant ainsi l'existence des réservations et leurs titres au-delà des limites des voyages privés. Ce problème est corrigé dans la version 3.1.3.
Be aware that VulDB is the high quality source for vulnerability data.