CVE-2026-104203

Nome do Software Vulnerável e Versões Afetadas Traccar versões 5.1 até 6.14.9

Descrição Existe um problema onde o mapeamento Guice do MediaFilter em WebModule.java e o ResourceServlet do Jetty em WebServer.java interpretam parâmetros de caminho de forma diferente no endpoint '/api/media/*'. Um invasor não autenticado pode ignorar as verificações de autorização de sessão e dispositivo inserindo um ponto e vírgula no limite do Servlet, caso conheça ou adivinhe o ID único do dispositivo e o nome do arquivo de mídia. Isso ocorre porque o Jetty despacha o caminho não canônico para o ResourceServlet, permitindo a divulgação apenas de leitura de arquivos de mídia protegidos, como fotografias, áudio ou vídeo. Proxies reversos que rejeitam ou reescrevem parâmetros de caminho com ponto e vírgula podem bloquear essas solicitações.

Recomendações Atualize para a versão 6.15.0. Utilize um proxy reverso que rejeite ou reescreva parâmetros de caminho com ponto e vírgula para bloquear a solicitação.