CVE-2026-78885
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wykryto podatność w liketrek TREK do wersji 3.0.22. Dotyczy ona funkcji findOrCreateUser w pliku server/src/services/oidcService.ts komponentu OIDC Service. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być zainicjowany zdalnie, ale wymaga wysokiego poziomu złożoności i jest trudny do wykorzystania. Aktualizacja do wersji 3.1.0 rozwiązuje problem.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do kont użytkowników, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację do wersji 3.1.0 lub nowszej.
Inne podatności w liketrek TREK
Zobacz wszystkie- CVE-2026-78887Niskie
W liketrek TREK do wersji 3.0.22 wykryto słabość w funkcji validateShareTokenForAsset komponentu Journey Photo Proxy. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, charakteryzuje się wysoką złożonością i trudnym wykorzystaniem. Wersja 3.1.0 naprawia ten problem.
- CVE-2026-78886Niskie
W liketrek TREK do wersji 3.0.22 odkryto lukę bezpieczeństwa w nieznanej funkcji pliku server/src/nest/journey/journey-public.controller.ts komponentu Public Journey Photo Proxy. Manipulacja prowadzi do path traversal. Atak może być przeprowadzony zdalnie, ma wysoką złożoność i jest trudny do wykorzystania. Wersja 3.1.0 łagodzi ten problem.
- CVE-2026-78864Średnie
Podatność w oprogramowaniu liketrek TREK do wersji 3.0.22. Funkcja journeyService.updateEntry w pliku server/src/nest/journey/journey.controller.t jest podatna na wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 3.1.0 rozwiązuje problem.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in liketrek TREK up to 3.0.22. The impacted element is the function findOrCreateUser of the file server/src/services/oidcService.ts of the component OIDC Service. Such manipulation leads to improper authentication. It is possible to launch the attack remotely. The attack requires a high level of complexity. The exploitability is regarded as difficult. Upgrading to version 3.1.0 is sufficient to resolve this issue. Upgrading the affected component is advised.