CVE-2026-126777

Nome do Software Vulnerável e Versões Afetadas Traccar versões 3.15 through 6.16.x

Description Existe um bypass de autenticação na função LdapProvider.login() quando a autenticação LDAP está habilitada. O sistema falha ao rejeitar senhas vazias, o que leva a que os binds LDAP sejam realizados como binds não autenticados. Um invasor que conheça um nome de usuário válido pode obter acesso não autorizado a qualquer conta, incluindo contas de administrador, utilizando uma senha vazia através do endpoint POST '/api/session' ou autenticação HTTP Basic, desde que o diretório permita binds não autenticados.

Recommendations Atualizar para a versão 6.17.0.