CVE-2026-77320 in TREK
要約
〜によって VulDB • 2026年09月24日
TREKは協調型の旅行プランナーです。バージョン3.3.0より前では、server/src/services/shareService.tsのgetSharedTripData関数は、trip ownerがshare_mapを無効にしている場合でも、GET /api/shared/:tokenを通じてdays, assignments, dayNotes, およびplacesを返します。クライアントはマップを非表示にしますが、公開JSON応答には依然として行程表、場所名、座標、住所、説明、ノート、および価格が含まれます。有効な共有トークンを保持する誰でも、所有者が明示的に共有しないことを選択した位置情報やルート情報を参照できますが、ランダムなトークンは引き続き必要であり、この欠陥は改ざんを許可しません。本問題はバージョン3.3.0で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.