CVE-2026-44314
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Traccar przed wersją 6.13.0 zawiera podatność w DeviceResource.uploadImage, która autoryzuje urządzenie tylko przez Condition.Permission, ale nie sprawdza readonly/deviceReadonly dla nie-adminów. Nieautoryzowany użytkownik może zastąpić obraz urządzenia w katalogu mediów serwera.
Ocena ryzyka
Atakujący może modyfikować obrazy urządzeń widoczne w interfejsie użytkownika, co może prowadzić do manipulacji danymi lub oszustwa.
Rekomendacja
Zaktualizuj Traccar do wersji 6.13.0 lub nowszej.
Inne podatności w Traccar
Zobacz wszystkie- CVE-2026-108738Średnie
Traccar w wersjach od 5.7 do 6.16.0 zawiera podatność cross-site request forgery, która pozwala atakującym zalogować ofiary do kont kontrolowanych przez atakującego, ponieważ callback OpenID Connect nigdy nie waliduje parametru state OAuth. Atakujący może nakłonić przeglądarkę ofiary do załadowania /api/session/openid/callback z własnym kodem autoryzacyjnym, powodując, że dane wprowadzone przez ofiarę, takie jak zarejestrowane urządzenia, trafiają do konta atakującego.
- CVE-2026-108737Średnie
Traccar w wersjach do 6.16.0 zawiera podatność słabego odzyskiwania hasła, która pozwala atakującym ponownie użyć tokenów resetowania hasła jako poświadczeń sesji, ponieważ TokenManager nie wiąże tokenów z celem. Atakujący posiadający wyciekły link resetowania może uzyskać pełną sesję przez /api/session lub zmienić hasła przez /api/password/update, zachowując dostęp przez siedem dni nawet po zresetowaniu hasła przez ofiarę.
- CVE-2026-52852Średnie
Traccar to otwarty system śledzenia GPS. Przed wersją 6.14.0 uwierzytelniony użytkownik z uprawnieniami do zarządzania grupami i żądania raportów może utworzyć cykliczną hierarchię grup-rodziców i zażądać raportu trips lub stops dla urządzenia w tej hierarchii. GroupResource pozwala na cykl rodzica, a AttributeUtil.lookup podąża za rodzicami grup bez wykrywania cykli, zbioru odwiedzonych ani limitu głębokości, co powoduje, że wyszukiwanie nigdy się nie kończy, przypina wątek Jetty przy wysokim użyciu CPU i może wyczerpać pulę wątków web/API przy powtarzanych żądaniach.
- CVE-2026-52851Wysokie
W Traccar przed wersją 6.14.0 uwierzytelniony użytkownik bez uprawnień tylko do odczytu może wysłać żądanie DELETE /api/permissions z dodatkowym kluczem JSON kontrolowanym przez atakującego. Walidacja sprawdza tylko dwa pierwsze klucze, ale removePermission() konkatenuje wszystkie klucze mapy do klauzuli WHERE SQL jako identyfikatory kolumn, co pozwala na wstrzyknięcie SQL i wyodrębnienie dowolnych danych z bazy, w tym adresu e-mail administratora, hashy haseł i soli. Podatność została naprawiona w wersji 6.14.0.
- CVE-2025-61666Wysokie
Traccar w wersji 6.1-6.8.1 (instalacje domyślne) oraz 5.8-6.0 (instalacje niedomyślne z włączonym web.override) jest podatny na nieuwierzytelnione ataki lokalnego włączenia plików (LFI), które mogą prowadzić do wycieku haseł lub dowolnych plików z systemu plików, w tym pliku konfiguracyjnego Traccar. Podatny kod usunięto w wersji 6.9.0.
Oryginalny opis (angielski, źródło NVD)
Traccar is an open source GPS tracking system. Prior to 6.13.0, DeviceResource.uploadImage authorizes the target device only through Condition.Permission(User.class, getUserId(), Device.class) and then immediately streams the uploaded body into mediaManager.createFileStream(...). Unlike the generic mutation path in BaseObjectResource.update and the explicit device mutation handler updateAccumulators, this route never invokes permissionsService.checkEdit(getUserId(), Device.class, false, false). The skipped guard is exactly where Traccar enforces readonly and deviceReadonly restrictions for non-admin users. An unauthorized user can replace a device’s stored image file under the server media directory. This allows modification of UI-visible device media and any downstream workflows that rely on the persisted image, despite other device update paths correctly rejecting the same identity. This vulnerability is fixed in 6.13.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS