CVE-2026-25649
WysokieStreszczenie
Wersje systemu śledzenia GPS Traccar do i włącznie z 6.11.1 zawierają problem, w którym uwierzytelnieni użytkownicy mogą kraść kody autoryzacji OAuth 2.0, wykorzystując podatność na otwarte przekierowanie w dwóch punktach końcowych związanych z OIDC. Parametr `redirect_uri` nie jest weryfikowany względem białej listy, co pozwala atakującym na przekierowanie kodów autoryzacji do kontrolowanych przez nich adresów URL.
Ocena ryzyka
Podatność ta umożliwia przejęcie konta w każdej aplikacji zintegrowanej z OAuth, co stwarza poważne zagrożenie dla bezpieczeństwa danych użytkowników i integralności systemu. Organizacje mogą być narażone na kradzież danych oraz nieautoryzowany dostęp do zasobów.
Rekomendacja
Zaleca się aktualizację systemu Traccar do najnowszej wersji, jeśli dostępna, oraz monitorowanie wszelkich podejrzanych aktywności związanych z OAuth. Należy również rozważyć wdrożenie dodatkowych zabezpieczeń, takich jak weryfikacja adresów URL w parametrach przekierowania.
Powiązane podatności
- CVE-2026-91039Krytyczne
Podatność w ash_authentication dotyczy strategii dynamic_oidc, która nie zapewnia prawidłowej separacji przestrzeni tożsamości między połączeniami. Atakujący kontrolujący jedno połączenie może zostać zalogowany jako lokalny użytkownik utworzony przez inne połączenie, ponieważ identyfikatory użytkowników nie są odpowiednio rozdzielane.
- CVE-2026-86863Krytyczne
W pgAdmin 4 źródło uwierzytelniania 'webserver' miało podatność polegającą na tym, że funkcja WebserverAuthentication.get_user() w przypadku braku wartości w środowisku WSGI/CGI odczytywała nazwę użytkownika bezpośrednio z nagłówków HTTP przesyłanych przez klienta. W efekcie każdy klient mogący połączyć się z pgAdmin mógł podać własny nagłówek i zalogować się jako dowolny użytkownik, w tym istniejący Administrator, bez hasła. Problem dotyczy wersji od 6.2 do 9.18 i występuje tylko gdy w AUTHENTICATION_SOURCES włączone jest 'webserver'.
- CVE-2026-88952Krytyczne
W ash_authentication występuje błędne uwierzytelnianie, które umożliwia atakującemu zalogowanie się jako inny użytkownik poprzez powiązanie swojej tożsamości OAuth2 z cudzym kontem. Atakujący może przypisać zweryfikowany e-mail do konta wybranego na podstawie innych atrybutów, co prowadzi do przejęcia sesji.
- CVE-2026-79752Krytyczne
W CakePHP metody FunctionsBuilder (cast, extract, datePart, dateAdd) umożliwiają wstrzyknięcie SQL przez nieprawidłowe przetwarzanie danych wejściowych kontrolowanych przez użytkownika. Niezaufane dane trafiają do składni SQL bez odpowiedniego zabezpieczenia, co może pozwolić atakującemu na wykonanie własnych zapytań.
- CVE-2026-63472Krytyczne
W Vendure funkcja createCustomerAndUser w zewnętrznym uwierzytelnianiu pobiera istniejące konto po adresie e-mail i łączy z nim nową metodę uwierzytelniania bez weryfikacji właściciela e-maila. Atakujący może użyć niezweryfikowanego e-maila, aby przejąć konto ofiary.
- CVE-2026-92960Krytyczne
W vm2 przed wersją 3.11.6 konfiguracja builtin: ['*'] nie ogranicza dostępu do modułów os i dns, co pozwala kodowi w piaskownicy na odczytanie informacji o procesie hosta i topologii sieci. Atakujący mogą użyć funkcji dns.setServers(), aby przejąć globalny resolver DNS procesu hosta.
- CVE-2026-92957Krytyczne
W vm2 do wersji 3.11.6 włącznie, w polityce require NodeVM, wpisy z prefiksem node: nie są poprawnie normalizowane, co pozwala ominąć listę zakazanych modułów. Atakujący w piaskownicy może uzyskać dostęp do modułu child_process, co daje możliwość wykonywania poleceń w systemie.
- CVE-2026-92956Krytyczne
W wersjach vm2 od 3.10.1 do 3.11.6 istnieje możliwość ucieczki z piaskownicy za pomocą WebAssembly.compileStreaming i instantiateStreaming. Atakujący może uzyskać dostęp do obiektu process w środowisku Node.js 26, co daje pełną kontrolę nad procesem hosta.
- CVE-2026-92955Krytyczne
W wersjach vm2 przed 3.11.8 występuje luka umożliwiająca ucieczkę z piaskownicy przez obiekty console._stdout i console._stderr. Atakujący może nadpisać metodę emit w EventEmitter.prototype i wykonać kod w procesie hosta, omijając ograniczenia generowania kodu.
- CVE-2026-92953Krytyczne
W wersjach vm2 od 3.11.0 do 3.11.8 nie są odpowiednio chronione prototypy TypedArray i ArrayBuffer przed modyfikacją przez kod w piaskownicy. Atakujący może zmienić prototypy, co wpływa na tablice hosta i może prowadzić do nieautoryzowanych działań.
Oryginalny opis (angielski, źródło NVD)
Versions of the Traccar open-source GPS tracking system up to and including 6.11.1 contain an issue in which authenticated users can steal OAuth 2.0 authorization codes by exploiting an open redirect vulnerability in two OIDC-related endpoints. The `redirect_uri` parameter is not validated against a whitelist, allowing attackers to redirect authorization codes to attacker-controlled URLs, enabling account takeover on any OAuth-integrated application. As of time of publication, it is unclear whether a fix is available.