CVE-2026-78886
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W liketrek TREK do wersji 3.0.22 odkryto lukę bezpieczeństwa w nieznanej funkcji pliku server/src/nest/journey/journey-public.controller.ts komponentu Public Journey Photo Proxy. Manipulacja prowadzi do path traversal. Atak może być przeprowadzony zdalnie, ma wysoką złożoność i jest trudny do wykorzystania. Wersja 3.1.0 łagodzi ten problem.
Ocena ryzyka
Path traversal może umożliwić atakującemu dostęp do plików poza katalogiem publicznym, co może prowadzić do ujawnienia wrażliwych danych.
Rekomendacja
Zaktualizuj liketrek TREK do wersji 3.1.0 lub nowszej.
Inne podatności w liketrek TREK
Zobacz wszystkie- CVE-2026-78887Niskie
W liketrek TREK do wersji 3.0.22 wykryto słabość w funkcji validateShareTokenForAsset komponentu Journey Photo Proxy. Manipulacja może prowadzić do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, charakteryzuje się wysoką złożonością i trudnym wykorzystaniem. Wersja 3.1.0 naprawia ten problem.
- CVE-2026-78885Średnie
Wykryto podatność w liketrek TREK do wersji 3.0.22. Dotyczy ona funkcji findOrCreateUser w pliku server/src/services/oidcService.ts komponentu OIDC Service. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być zainicjowany zdalnie, ale wymaga wysokiego poziomu złożoności i jest trudny do wykorzystania. Aktualizacja do wersji 3.1.0 rozwiązuje problem.
- CVE-2026-78864Średnie
Podatność w oprogramowaniu liketrek TREK do wersji 3.0.22. Funkcja journeyService.updateEntry w pliku server/src/nest/journey/journey.controller.t jest podatna na wstrzyknięcie SQL. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 3.1.0 rozwiązuje problem.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in liketrek TREK up to 3.0.22. This affects an unknown function of the file server/src/nest/journey/journey-public.controller.ts of the component Public Journey Photo Proxy. Performing a manipulation results in path traversal. The attack can be initiated remotely. The attack's complexity is rated as high. The exploitability is reported as difficult. Upgrading to version 3.1.0 mitigates this issue. It is advisable to upgrade the affected component.