CVE-2026-108737
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Traccar w wersjach do 6.16.0 zawiera podatność słabego odzyskiwania hasła, która pozwala atakującym ponownie użyć tokenów resetowania hasła jako poświadczeń sesji, ponieważ TokenManager nie wiąże tokenów z celem. Atakujący posiadający wyciekły link resetowania może uzyskać pełną sesję przez /api/session lub zmienić hasła przez /api/password/update, zachowując dostęp przez siedem dni nawet po zresetowaniu hasła przez ofiarę.
Ocena ryzyka
Atakujący może uzyskać trwały dostęp do konta ofiary na siedem dni, nawet po zmianie hasła, co prowadzi do nieautoryzowanego dostępu do danych i systemów. Ryzyko obejmuje również możliwość zmiany hasła ofiary i przejęcia konta.
Rekomendacja
Zaktualizuj Traccar do wersji nowszej niż 6.16.0, jeśli jest dostępna, oraz wdrożyć wiązanie tokenów z ich przeznaczeniem w TokenManager. Unieważniaj wszystkie aktywne sesje po resecie hasła i monitoruj podejrzane żądania do /api/session i /api/password/update.
Inne podatności w Traccar
Zobacz wszystkie- CVE-2026-108738Średnie
Traccar w wersjach od 5.7 do 6.16.0 zawiera podatność cross-site request forgery, która pozwala atakującym zalogować ofiary do kont kontrolowanych przez atakującego, ponieważ callback OpenID Connect nigdy nie waliduje parametru state OAuth. Atakujący może nakłonić przeglądarkę ofiary do załadowania /api/session/openid/callback z własnym kodem autoryzacyjnym, powodując, że dane wprowadzone przez ofiarę, takie jak zarejestrowane urządzenia, trafiają do konta atakującego.
- CVE-2026-52852Średnie
Traccar to otwarty system śledzenia GPS. Przed wersją 6.14.0 uwierzytelniony użytkownik z uprawnieniami do zarządzania grupami i żądania raportów może utworzyć cykliczną hierarchię grup-rodziców i zażądać raportu trips lub stops dla urządzenia w tej hierarchii. GroupResource pozwala na cykl rodzica, a AttributeUtil.lookup podąża za rodzicami grup bez wykrywania cykli, zbioru odwiedzonych ani limitu głębokości, co powoduje, że wyszukiwanie nigdy się nie kończy, przypina wątek Jetty przy wysokim użyciu CPU i może wyczerpać pulę wątków web/API przy powtarzanych żądaniach.
- CVE-2026-52851Wysokie
W Traccar przed wersją 6.14.0 uwierzytelniony użytkownik bez uprawnień tylko do odczytu może wysłać żądanie DELETE /api/permissions z dodatkowym kluczem JSON kontrolowanym przez atakującego. Walidacja sprawdza tylko dwa pierwsze klucze, ale removePermission() konkatenuje wszystkie klucze mapy do klauzuli WHERE SQL jako identyfikatory kolumn, co pozwala na wstrzyknięcie SQL i wyodrębnienie dowolnych danych z bazy, w tym adresu e-mail administratora, hashy haseł i soli. Podatność została naprawiona w wersji 6.14.0.
- CVE-2026-44314Średnie
Traccar przed wersją 6.13.0 zawiera podatność w DeviceResource.uploadImage, która autoryzuje urządzenie tylko przez Condition.Permission, ale nie sprawdza readonly/deviceReadonly dla nie-adminów. Nieautoryzowany użytkownik może zastąpić obraz urządzenia w katalogu mediów serwera.
- CVE-2025-61666Wysokie
Traccar w wersji 6.1-6.8.1 (instalacje domyślne) oraz 5.8-6.0 (instalacje niedomyślne z włączonym web.override) jest podatny na nieuwierzytelnione ataki lokalnego włączenia plików (LFI), które mogą prowadzić do wycieku haseł lub dowolnych plików z systemu plików, w tym pliku konfiguracyjnego Traccar. Podatny kod usunięto w wersji 6.9.0.
Oryginalny opis (angielski, źródło NVD)
Traccar through 6.16.0 contains a weak password recovery vulnerability that allows attackers to reuse password reset tokens as session credentials because TokenManager does not bind tokens to a purpose. Attackers holding a leaked reset link can obtain a full session via /api/session or change passwords via /api/password/update, retaining access for seven days even after the victim resets their password.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS