CVE-2026-104203

Traccar açıq mənbəli GPS izləmə sistemidir. 5.1 versiyasından 6.15.0 versiyasına qədər WebModule.java faylındakı MediaFilter Guice mapinqi və WebServer.java faylındakı Jetty ResourceServlet /api/media/* yolunda yol parametrlərinə fərqli marşrut mənaları təyin edir. Cihazın unikal ID-sini və media faylının adını bilən və ya təxmin edən autentifikasiyadan keçməmiş hücumçu Servlet sərhədində nöqtəli vergül yerləşdirərək MediaFilter-in sessiya və cihaz avtorizasiya yoxlamalarından yan keçə və qorunan medianı əldə edə bilər, çünki Jetty hələ də qeyri-kanonik yolu ResourceServlet-ə yönləndirir. Nümayiş etdirilən təsir qorunan cihaz media faylının yalnız oxuma rejimində açıqlanmasıdır; yerləşdirmədən və saxlanılan mediadan asılı olaraq bu, fotoşəkilləri, audio, video və ya digər yüklənmiş faylları ifşa edə bilər. Bülleten kataloq siyahılaşdırması, traversal, dəyişdirmə, hesabın ələ keçirilməsi, xidmətdən imtina və ya kodun icrası hallarını müəyyən etmir. Nöqtəli vergüllü yol parametrlərini rədd edən və ya yenidən yazan tərs proksilər sorğunu bloklaya bilər. Bu problem 6.15.0 versiyasında düzəldilmişdir.