PT-2026-37033

CVE-2026-27693

Publicado

2026-05-05

Atualizado

2026-05-06

Descrição por

CVSS 3.1

5.4

Média

MétricasAV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas org.traccar:traccar versões 6.11.1 até 6.12.x

Descrição A funcionalidade de exportação KML e GPX grava os nomes dos dispositivos na saída XML sem a devida filtragem. Um invasor com baixos privilégios pode criar um dispositivo com um nome manipulado para injetar conteúdo XML em arquivos exportados. Se outro usuário exportar e abrir o arquivo afetado, isso pode corromper a estrutura do arquivo e falsificar os dados de localização exportados.

Recomendações Atualizar para a versão 6.13.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Djvirus9

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-91: XML Injection (aka Blind XPath Injection)

Identificadores relacionados