PT-2026-137127
CVE-2026-104203
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Traccar الإصدارات من 5.1 إلى 6.14.9
الوصف
توجد مشكلة حيث يقوم تعيين Guice الخاص بـ
MediaFilter في WebModule.java و ResourceServlet الخاص بـ Jetty في WebServer.java بتفسير معاملات المسار بشكل مختلف عند نقطة النهاية '/api/media/*'. يمكن لمهاجم غير مصرح له تجاوز فحوصات تفويض الجلسة والجهاز عن طريق إدراج فاصلة منقوطة عند حدود Servlet إذا كان يعرف أو يخمن المعرف الفريد للجهاز واسم ملف الوسائط. يحدث هذا لأن Jetty يرسل المسار غير القياسي إلى ResourceServlet مما يسمح بالكشف للقراءة فقط عن ملفات الوسائط المحمية مثل الصور أو الصوت أو الفيديو. قد تقوم الوكلاء العكسيون الذين يرفضون أو يعيدون كتابة معاملات المسار التي تحتوي على فاصلة منقوطة بحظر هذه الطلبات.التوصيات
التحديث إلى الإصدار 6.15.0.
استخدام وكيل عكسي يرفض أو يعيد كتابة معاملات المسار التي تحتوي على فاصلة منقوطة لحظر الطلب.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾