CVE-2026-77320 in TREK
Résumé
par VulDB • 24/09/2026
TREK est un planificateur de voyages collaboratif. Avant la version 3.3.0, l'endpoint `getSharedTripData` dans `server/src/services/shareService.ts` renvoie les jours (`days`), les affectations (`assignments`), les notes des journées (`dayNotes`) et les lieux (`places`) via GET `/api/shared/:token`, même lorsque le propriétaire du voyage désactive l'option de partage de la carte (`share_map`). Le client masque visuellement la carte, mais la réponse JSON publique inclut toujours l'itinéraire, les noms des lieux, les coordonnées géographiques, les adresses, les descriptions, les notes et les prix. Toute personne disposant d'un jeton de partage valide peut donc lire les informations de localisation et d'itinéraire que le propriétaire a explicitement choisi de ne pas partager, bien qu'un jeton aléatoire reste requis et que cette faille ne permette aucune modification des données. Ce problème est corrigé dans la version 3.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.