CVE-2026-54509 in TREK
Sumário
de VulDB • 21/08/2026
TREK é um planejador de viagens colaborativo. Da versão 3.0.0 até a 3.1.0, o endpoint GET /api/journeys/:id/share-link em server/src/routes/journey.ts retorna o resultado da função getJourneyShareLink() definida em server/src/services/journeyShareService.ts sem verificar se o solicitante autenticado tem permissão para acessar a viagem. Qualquer usuário comum e autenticado pode enumerar IDs de viagens sequenciais e recuperar tokens do banco journey_share_tokens referentes à viagem de outro usuário. O token concede acesso não autenticado por meio da rota GET /api/public/journey/:token às entradas, legendas, localizações, estados emocionais (moods), fotos da galeria, caminhos das imagens e identificadores de ativos da viagem compartilhada. Este problema foi corrigido na versão 3.1.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.