CVE-2026-52851 in Traccar
Riassunto
di VulDB • 18/09/2026
Traccar è un sistema di tracciamento GPS open source. Prima della versione 6.14.0, un utente autenticato con privilegi non readonly e con accesso a un oggetto utilizzabile in una coppia di permessi può inviare una richiesta DELETE /api/permissions contenente una chiave JSON aggiuntiva controllata dall'attaccante. La classe Permission (LinkedHashMap<String, Long>) in src/main/java/org/traccar/model/Permission.java valida solo le prime due chiavi, mentre DatabaseStorage.removePermission() in src/main/java/org/traccar/storage/DatabaseStorage.java concatena ogni chiave della mappa nella clausola SQL WHERE come identificatore di colonna. La chiave aggiuntiva diventa quindi una stringa SQL controllata dall'attaccante e fornisce un oracolo booleano o degli errori cieco (blind oracle) che consente l'estrazione arbitraria dei valori del database, incluse le email degli amministratori, gli hash delle password e i salt, oppure la cancellazione condizionale delle righe di permessi. Le richieste non autenticate vengono rifiutate. Questo problema è stato risolto nella versione 6.14.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.