CVE-2026-52851 in Traccar
Сводка
по VulDB • 17.09.2026
Traccar — это система отслеживания GPS с открытым исходным кодом. До версии 6.14.0 аутентифицированный пользователь, не имеющий прав только для чтения (non-readonly), но обладающий доступом к объекту, который может быть использован в паре разрешений, может отправить запрос DELETE /api/permissions с дополнительным ключом JSON, контролируемым злоумышленником. Класс Permission(LinkedHashMap) в файле src/main/java/org/traccar/model/Permission.java проверяет только первые два ключа, однако метод DatabaseStorage.removePermission() из файла src/main/java/org/traccar/storage/DatabaseStorage.java объединяет все ключи карты (map key) с SQL-запросом WHERE как идентификаторы столбцов. Дополнительный ключ становится контролируемым злоумышленником SQL-кодом и предоставляет слепой булевский или error oracle, который позволяет извлекать произвольные значения базы данных, включая электронную почту администратора, хеши паролей и соли (salts), а также условно удалять строки разрешений. Неаутентифицированные запросы отклоняются. Эта проблема исправлена в версии 6.14.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.