Djvirus9

A funcionalidade de exportação CSV grava dados de posição, incluindo atributos de dispositivo e atributos computados controlados pelo usuário, na saída CSV sem a devida sanitização. Isso permite que um invasor injete fórmulas de planilha por meio de campos exportados. Quando um gerente ou administrador abre o arquivo CSV exportado em um software de planilha, isso pode causar a execução de fórmulas, levando à execução de comandos ou exfiltração de dados.

Os modelos de notificação por e-mail inserem nomes de dispositivos, geocercas e motoristas controlados pelo usuário na saída de e-mail HTML sem a devida filtragem. Um invasor com baixos privilégios pode armazenar HTML manipulado nesses campos, que é então renderizado em e-mails de notificação enviados a outros usuários com acesso aos dispositivos afetados. Isso pode levar a phishing ou conteúdo de e-mail falsificado.

A funcionalidade de exportação KML e GPX grava os nomes dos dispositivos na saída XML sem a devida filtragem. Um invasor com baixos privilégios pode criar um dispositivo com um nome manipulado para injetar conteúdo XML em arquivos exportados. Se outro usuário exportar e abrir o arquivo afetado, isso pode corromper a estrutura do arquivo e falsificar os dados de localização exportados.

MobSF, a mobile application security testing tool, contains a flaw in its `read sqlite()` function located in `mobsf/MobSF/utils.py` (lines 542-566). This function utilizes Python string formatting (`%`) to construct SQL queries using table names obtained from a SQLite database's `sqlite master` table. When analyzing a malicious mobile application with a crafted SQLite database, attacker-controlled table names are directly interpolated into SQL queries without proper parameterization or escaping. This can lead to denial of service, as a malicious table name can cause the database viewer to crash, preventing analysis of the database content. It also allows for SQL injection via `UNION SELECT`, potentially enabling an attacker to retrieve attacker-controlled data. The vulnerable code is triggered when an analyst views a `.db` file during dynamic or static analysis. The `PRAGMA table info()` statement on line 553 and the `SELECT * FROM` query on line 557 are the injection points.

O sistema de rastreamento GPS Traccar é afetado por um problema no qual usuários autenticados com privilégios de criação ou edição de dispositivos podem manipular o parâmetro `uniqueId` para especificar um caminho absoluto de arquivo. Isso permite gravar arquivos fora do diretório de mídia destinado, pois o sistema não valida adequadamente se o caminho resolvido permanece dentro da raiz do diretório de mídia designado durante o upload de imagens de dispositivos.

O sistema de rastreamento GPS de código aberto Traccar é afetado por um problema no qual usuários autenticados podem obter códigos de autorização OAuth 2.0 através de uma falha de redirecionamento aberto em dois endpoints relacionados ao OpenID Connect (OIDC). O parâmetro `redirect uri` não é validado corretamente contra uma whitelist, permitindo que atacantes redirecionem códigos de autorização para URLs sob seu controle. Isso pode levar ao takeover de conta em qualquer aplicação integrada com OAuth.

Traccar, um sistema de rastreamento GPS de código aberto, está afetado por uma vulnerabilidade de cross-site scripting armazenada (XSS). Usuários autenticados podem enviar arquivos SVG maliciosos como imagens de dispositivos. A aplicação não sanitiza esses arquivos e os fornece com o tipo de conteúdo `image/svg+xml`, permitindo que o JavaScript embutido seja executado no contexto dos navegadores de outros usuários. A vulnerabilidade permite a execução de JavaScript arbitrário. O **Ponto de Extremidade da API** para upload de arquivos está envolvido neste problema. O parâmetro vulnerável é o próprio arquivo SVG, especificamente o JavaScript embutido no arquivo SVG.