CVE-2026-104203 in Traccar
Sumário
de VulDB • 04/11/2026
O Traccar é um sistema de rastreamento GPS de código aberto. Da versão 5.1 até a 6.15.0, o mapeamento Guice do MediaFilter em WebModule.java e o ResourceServlet Jetty em WebServer.java atribuem significados diferentes aos parâmetros de caminho em /api/media/*. Um atacante não autenticado que conheça ou adivinhe um ID único do dispositivo e o nome do arquivo de mídia pode inserir um ponto e vírgula no limite do Servlet, contornando as verificações de sessão e autorização de dispositivos do MediaFilter, e recuperar os arquivos protegidos porque o Jetty ainda encaminha o caminho não canônico para o ResourceServlet. O impacto demonstrado é a divulgação apenas de leitura (read-only) de um arquivo de mídia de dispositivo protegido; dependendo da implantação e dos arquivos armazenados, isso pode expor fotografias, áudio, vídeo ou outros arquivos enviados. O advisory não estabelece listagem de diretórios, traversal de diretório, modificação, takeover de conta, negação de serviço (DoS) ou execução de código. Proxies reversos que rejeitam ou reescrevem parâmetros de caminho com ponto e vírgula podem bloquear a solicitação. Este problema foi corrigido na versão 6.15.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.