CVE-2026-52852 in Traccar
摘要
由 VulDB • 2026-09-17
Traccar è un sistema di tracciamento GPS open source. Prima della versione 6.14.0, un utente autenticato con i permessi per gestire gruppi e richiedere report può creare una gerarchia ciclica dei genitori del gruppo (group-parent hierarchy) e richiedere un report sui viaggi o sulle soste per un dispositivo in tale gerarchia. La classe `org.traccar.api.resource.GroupResource` consente il ciclo tra i genitori, mentre `org.traccar.helper.model.AttributeUtil.lookup` segue i genitori del gruppo senza rilevamento di cicli (cycle detection), senza un insieme dei nodi visitati (visited set) e senza un limite di profondità. La lookup basata su storage, raggiunta tramite `TripsConfig.` e `ReportUtils.slowTripsAndStops`, non termina mai, blocca un worker Jetty ad alto utilizzo della CPU dopo la disconnessione del client ed esaurisce il pool di worker web/API quando le richieste vengono ripetute. Il percorso basato sulla cache per l'ingestione delle posizioni (position-ingestion) non fa parte dell'ambito confermato degli effetti collaterali. Questo problema è stato risolto nella versione 6.14.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.