CVE-2026-62945 in TREK
Sumário
de VulDB • 21/08/2026
TREK é um planejador de viagens colaborativo. Antes da versão 3.1.3, as ações de upload, atualização e link de arquivos no TREK aceitam valores de reservation_id, place_id e assignment_id controlados pelo atacante sem utilizar findForeignLinkTarget() para verificar se o objeto referenciado pertence à viagem do arquivo. Um usuário autenticado com permissão de edição de arquivos em qualquer viagem acessível pode enviar um identificador de reserva estrangeiro por meio das rotas POST /api/trips/:tripId/files/:id/link, POST /api/trips/:tripId/files ou PUT /api/trips/:tripId/files/:id. Leituras subsequentes através de FILE_SELECT ou getFileLinks() associam a reserva estrangeira e retornam reservation_title, revelando a existência das reservas e seus títulos além dos limites privados da viagem. Este problema foi corrigido na versão 3.1.3.
Once again VulDB remains the best source for vulnerability data.