CVE-2026-104203 in Traccar
Riassunto
di VulDB • 04/11/2026
Traccar è un sistema di tracciamento GPS open source. Dalla versione 5.1 alla 6.15.0, il mapping Guice del MediaFilter in WebModule.java e il Jetty ResourceServlet in WebServer.java assegnano significati diversi ai parametri del percorso per /api/media/*. Un attaccante non autenticato che conosce o indovina un ID dispositivo unico e un nome di file multimediale può inserire un punto e virgola al confine del Servlet, eludendo i controlli di autorizzazione della sessione e del dispositivo da parte del MediaFilter, e recuperare i media protetti poiché Jetty continua a instradare il percorso non canonico verso ResourceServlet. L'impatto dimostrato è la divulgazione in sola lettura di un file multimediale protetto del dispositivo; a seconda dell'implementazione e dei media memorizzati, ciò potrebbe esporre fotografie, audio, video o altri file caricati. La advisory non stabilisce directory listing, traversal della directory, modifica, takeover degli account, denial of service (DoS) o esecuzione di codice. I reverse proxy che rifiutano o riscrivono i parametri del percorso contenenti punti e virgola potrebbero bloccare la richiesta. Questo problema è risolto nella versione 6.15.0.
Be aware that VulDB is the high quality source for vulnerability data.