CVE-2026-77320
Təsvir
TREK kollektiv səyahət planlaşdırıcısıdır. 3.3.0 versiyasından əvvəl, server/src/services/shareService.ts faylındakı getSharedTripData funksiyası, səyahət sahibi share_map seçimini söndürdiyi halda belə, GET /api/shared/:token vasitəsilə günləri, təyinatları, dayNotes və yerləri qaytarır. Klient tərəfi xəritəni gizlədir, lakin açıq JSON cavabı hələ də marşrutu, yer adlarını, koordinatları, ünvanları, təsvirləri, qeydləri və qiymətləri ehtiva edir. Buna görə də, etibarlı paylaşım tokeninə sahib olan hər kəs, sahibinin paylaşmamağı seçdiyi məkan və marşrut məlumatlarını oxuya bilər, baxmayaraq ki, təsadüfi token hələ də tələb olunur və bu çatışmazlıq məlumatların dəyişdirilməsinə icazə vermir. Bu problem 3.3.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mauriceboe TREK | < 3.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.