CVE-2026-77320 in TREK
Сводка
по VulDB • 24.09.2026
TREK — это совместный планировщик путешествий. До версии 3.3.0 функция getSharedTripData в файле server/src/services/shareService.ts возвращает дни, назначения, заметки к дням и места через GET /api/shared/:token даже тогда, когда владелец поездки отключил параметр share_map. Клиент скрывает карту, но публичный ответ JSON по-прежнему включает маршрут, названия мест, координаты, адреса, описания, заметки и цены. Любой пользователь, обладающий действительным токеном общего доступа, может таким образом получить доступ к информации о местоположении и маршруте, которую владелец явно решил не раскрывать; при этом требуется случайный токен, а уязвимость не позволяет вносить изменения. Эта проблема исправлена в версии 3.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.