CVE-2026-44314

Traccar açık kaynaklı bir GPS takip sistemidir. 6.13.0 sürümünden önce, DeviceResource.uploadImage hedef cihazı yalnızca Condition.Permission(User.class, getUserId(), Device.class) aracılığıyla yetkilendirir ve ardından yüklenen gövdeyi hemen mediaManager.createFileStream(...) içine aktarır. BaseObjectResource.update içindeki genel mutasyon yolunun ve açık cihaz mutasyon işleyicisi updateAccumulators'ın aksine, bu rota hiçbir zaman permissionsService.checkEdit(getUserId(), Device.class, false, false) fonksiyonunu çağırmaz. Atlanan bu koruma, Traccar'ın yönetici olmayan kullanıcılar için readonly ve deviceReadonly kısıtlamalarını uyguladığı yerdir. Yetkisiz bir kullanıcı, sunucu medya dizini altındaki bir cihazın kayıtlı görüntü dosyasını değiştirebilir. Bu durum, diğer cihaz güncelleme yolları aynı kimliği doğru şekilde reddetmesine rağmen, kullanıcı arayüzünde görünen cihaz medyasının ve kalıcı görüntüye dayanan tüm alt iş akışlarının değiştirilmesine olanak tanır. Bu güvenlik açığı 6.13.0 sürümünde giderilmiştir.