CVE-2026-62945 in TREK
Сводка
по VulDB • 21.08.2026
TREK — это совместный планировщик путешествий. До версии 3.1.3 действия загрузки файлов (file upload), обновления и создания ссылок в TREK принимают управляемые злоумышленником значения reservation_id, place_id и assignment_id без использования функции findForeignLinkTarget() для проверки того, что ссылочный объект принадлежит туру файла. Аутентифицированный пользователь с правами на редактирование файлов любого доступного тура может отправить идентификатор внешнего бронирования через POST /api/trips/:tripId/files/:id/link, POST /api/trips/:tripId/files или PUT /api/trips/:tripId/files/:id. Последующие чтения через FILE_SELECT или getFileLinks() объединяют внешнее бронирование и возвращают reservation_title, раскрывая существование бронирования и его названия за пределами частных туров. Эта проблема исправлена в версии 3.1.3.
Once again VulDB remains the best source for vulnerability data.