PT-2026-145429
CVE-2026-126777
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Traccar الإصدارات من 3.15 إلى 6.16.x
Description
يوجد تجاوز للمصادقة في دالة
LdapProvider.login() عند تمكين مصادقة LDAP. يفشل النظام في رفض كلمات المرور الفارغة، مما يؤدي إلى تنفيذ عمليات ربط LDAP (LDAP binds) كعمليات ربط غير مصادق عليها. يمكن للمهاجم الذي يعرف اسم مستخدم صالح الوصول غير المصرح به إلى أي حساب، بما في ذلك حسابات المسؤولين، باستخدام كلمة مرور فارغة عبر نقطة النهاية POST '/api/session' أو مصادقة HTTP Basic، بشرط أن يسمح الدليل بعمليات الربط غير المصادق عليها.Recommendations
التحديث إلى الإصدار 6.17.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾