CVE-2026-52852
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Traccar to otwarty system śledzenia GPS. Przed wersją 6.14.0 uwierzytelniony użytkownik z uprawnieniami do zarządzania grupami i żądania raportów może utworzyć cykliczną hierarchię grup-rodziców i zażądać raportu trips lub stops dla urządzenia w tej hierarchii. GroupResource pozwala na cykl rodzica, a AttributeUtil.lookup podąża za rodzicami grup bez wykrywania cykli, zbioru odwiedzonych ani limitu głębokości, co powoduje, że wyszukiwanie nigdy się nie kończy, przypina wątek Jetty przy wysokim użyciu CPU i może wyczerpać pulę wątków web/API przy powtarzanych żądaniach.
Ocena ryzyka
Może to prowadzić do wyczerpania zasobów serwera i odmowy usługi (DoS) dla aplikacji Traccar.
Rekomendacja
Zaktualizować Traccar do wersji 6.14.0, która zawiera poprawkę tego problemu.
Inne podatności w Traccar
Zobacz wszystkie- CVE-2026-108738Średnie
Traccar w wersjach od 5.7 do 6.16.0 zawiera podatność cross-site request forgery, która pozwala atakującym zalogować ofiary do kont kontrolowanych przez atakującego, ponieważ callback OpenID Connect nigdy nie waliduje parametru state OAuth. Atakujący może nakłonić przeglądarkę ofiary do załadowania /api/session/openid/callback z własnym kodem autoryzacyjnym, powodując, że dane wprowadzone przez ofiarę, takie jak zarejestrowane urządzenia, trafiają do konta atakującego.
- CVE-2026-108737Średnie
Traccar w wersjach do 6.16.0 zawiera podatność słabego odzyskiwania hasła, która pozwala atakującym ponownie użyć tokenów resetowania hasła jako poświadczeń sesji, ponieważ TokenManager nie wiąże tokenów z celem. Atakujący posiadający wyciekły link resetowania może uzyskać pełną sesję przez /api/session lub zmienić hasła przez /api/password/update, zachowując dostęp przez siedem dni nawet po zresetowaniu hasła przez ofiarę.
- CVE-2026-52851Wysokie
W Traccar przed wersją 6.14.0 uwierzytelniony użytkownik bez uprawnień tylko do odczytu może wysłać żądanie DELETE /api/permissions z dodatkowym kluczem JSON kontrolowanym przez atakującego. Walidacja sprawdza tylko dwa pierwsze klucze, ale removePermission() konkatenuje wszystkie klucze mapy do klauzuli WHERE SQL jako identyfikatory kolumn, co pozwala na wstrzyknięcie SQL i wyodrębnienie dowolnych danych z bazy, w tym adresu e-mail administratora, hashy haseł i soli. Podatność została naprawiona w wersji 6.14.0.
- CVE-2026-44314Średnie
Traccar przed wersją 6.13.0 zawiera podatność w DeviceResource.uploadImage, która autoryzuje urządzenie tylko przez Condition.Permission, ale nie sprawdza readonly/deviceReadonly dla nie-adminów. Nieautoryzowany użytkownik może zastąpić obraz urządzenia w katalogu mediów serwera.
- CVE-2025-61666Wysokie
Traccar w wersji 6.1-6.8.1 (instalacje domyślne) oraz 5.8-6.0 (instalacje niedomyślne z włączonym web.override) jest podatny na nieuwierzytelnione ataki lokalnego włączenia plików (LFI), które mogą prowadzić do wycieku haseł lub dowolnych plików z systemu plików, w tym pliku konfiguracyjnego Traccar. Podatny kod usunięto w wersji 6.9.0.
Oryginalny opis (angielski, źródło NVD)
Traccar is an open source GPS tracking system. Prior to 6.14.0, an authenticated user with permission to manage groups and request reports can create a cyclic group-parent hierarchy and request a trips or stops report for a device in that hierarchy. org.traccar.api.resource.GroupResource permits the parent cycle, while org.traccar.helper.model.AttributeUtil.lookup follows group parents without cycle detection, a visited set, or a depth limit. The storage-backed lookup reached through TripsConfig. and ReportUtils.slowTripsAndStops never terminates, pins a Jetty worker at high CPU after the client disconnects, and can exhaust the web/API worker pool when requests are repeated. The position-ingestion cache-backed path is not part of the confirmed affected scope. This issue is fixed in 6.14.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS