CVE-2026-52851 in Traccar
요약
\~에 의해 VulDB • 2026. 09. 17.
Traccar은 오픈 소스 GPS 추적 시스템입니다. 버전 6.14.0 이전에는 권한 쌍에서 사용 가능한 객체에 접근할 수 있는 인증된 비-readonly(읽기 전용 아님) 사용자가 추가적인 공격자 제어 JSON 키를 포함하여 DELETE /api/permissions 요청을 제출할 수 있습니다. src/main/java/org/traccar/model/Permission.java의 Permission(LinkedHashMap)은 첫 두 개의 키만 검증하지만, src/main/java/org/traccar/storage/DatabaseStorage.java의 DatabaseStorage.removePermission()는 모든 맵 키를 SQL WHERE 절에 컬럼 식별자로 연결합니다. 이로 인해 추가된 키가 공격자 제어 SQL이 되어 임의의 데이터베이스 값(관리자 이메일, 비밀번호 해시 및 솔트 포함)을 추출하거나 조건부 권한 행 삭제를 가능하게 하는 블라인드 boolean 또는 에러 오라클을 제공합니다. 비인증 요청은 거부됩니다. 이 문제는 6.14.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.