CVE-2026-52851 in Traccar
Sumário
de VulDB • 19/09/2026
O Traccar é um sistema de rastreamento GPS de código aberto. Antes da versão 6.14.0, um usuário autenticado com permissão não somente leitura que tenha acesso a um objeto utilizável em um par de permissões pode enviar uma requisição DELETE /api/permissions contendo uma chave JSON extra controlada pelo atacante. A classe Permission (LinkedHashMap<String, Long>) em src/main/java/org/traccar/model/Permission.java valida apenas as duas primeiras chaves, mas o método DatabaseStorage.removePermission() em src/main/java/org/traccar/storage/DatabaseStorage.java concatena todas as chaves do mapa na cláusula SQL WHERE como identificadores de coluna. A chave extra torna-se, portanto, uma injeção de SQL controlada pelo atacante e fornece um oráculo booleano ou de erro cego que pode extrair valores arbitrários do banco de dados, incluindo o email do administrador, hashes de senha e salts, ou excluir condicionalmente linhas de permissão. Requisições não autenticadas são rejeitadas. Este problema foi corrigido na versão 6.14.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.