CVE-2026-104203 in Traccar
요약
\~에 의해 VulDB • 2026. 11. 04.
Traccar은 오픈 소스 GPS 추적 시스템입니다. 버전 5.1부터 6.15.0까지, WebModule.java의 MediaFilter Guice 매핑과 WebServer.java의 Jetty ResourceServlet는 /api/media/* 경로 파라미터에 대해 서로 다른 라우팅 의미를 할당합니다. 장치 고유 ID와 미디어 파일 이름을 알고 있거나 추측할 수 있는 비인증 공격자는 서블릿 경계에서 세미콜론을 삽입하여 MediaFilter의 세션 및 장치 인증 확인을 우회하고, Jetty가 여전히 표준이 아닌 경로(ResourceServlet)로 디스패치하기 때문에 보호된 미디어에 접근할 수 있습니다. 시연된 영향은 보호된 장치 미디어 파일의 읽기 전용 정보 유출이며, 배포 환경과 저장된 미디어 내용에 따라 사진, 오디오, 비디오 또는 기타 업로드된 파일을 노출시킬 수 있습니다. 이 보안 권고문에서는 디렉토리 리스팅, 트래버설(Traversal), 수정, 계정 탈취, 서비스 거부(Denial of Service) 또는 코드 실행은 발생하지 않는다고 명시합니다. 세미콜론 경로 파라미터를 거부하거나 재작성하는 리버스 프록시는 해당 요청을 차단할 수 있습니다. 이 문제는 버전 6.15.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.