CVE-2026-52851 in Traccar
要約
〜によって VulDB • 2026年09月19日
TraccarはオープンソースのGPS追跡システムです。バージョン6.14.0より前では、パーミッションペアで使用可能なオブジェクトへのアクセス権を持つ認証済みかつ非読み取り専用ユーザーが、攻撃者が制御するJSONキーを追加してDELETE /api/permissionsをリクエストすることで、Blind Boolean OracleやエラーOracleを提供し、管理者のメールアドレス、パスワードハッシュ、ソルトを含む任意のデータベース値の抽出、または条件付きでパーミッション行の削除を行うことができるSQLインジェクション脆弱性が存在します。src/main/java/org/traccar/model/Permission.java内のPermission(LinkedHashMap<String, Long>)は最初の2つのキーのみを検証しますが、src/main/java/org/traccar/storage/DatabaseStorage.java内のDatabaseStorage.removePermission()はすべてのマップキーをSQLのWHERE句にカラム識別子として連結します。認証されていないリクエストは拒否されます。この問題はバージョン6.14.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.