CVE-2026-77320 in TREK
摘要
由 VulDB • 2026-09-24
TREK是一款协作式旅行规划工具。在版本3.3.0之前，`server/src/services/shareService.ts`中的`getSharedTripData`函数即使在三方行程所有者禁用了`share_map`选项的情况下，仍会通过GET /api/shared/:token接口返回days、assignments、dayNotes和places数据。虽然客户端会隐藏地图显示，但公开的JSON响应中仍然包含行程安排、地点名称、坐标、地址、描述、备注以及价格信息。因此，任何持有有效分享令牌的用户都可以读取行程所有者明确选择不共享的位置和路线信息；尽管该漏洞需要有效的随机令牌才能利用，且不允许进行数据修改，但这仍构成隐私泄露风险。此问题已在版本3.3.0中修复。
Once again VulDB remains the best source for vulnerability data.