CVE-2026-52851
Açıklama
Traccar açık kaynaklı bir GPS takip sistemidir. 6.14.0 sürümünden önce, bir izin çiftinde kullanılabilen bir nesneye erişimi olan kimliği doğrulanmış ve salt okunur olmayan bir kullanıcı, saldırgan tarafından kontrol edilen ek bir JSON anahtarı ile DELETE /api/permissions isteği gönderebilir. src/main/java/org/traccar/model/Permission.java dosyasındaki Permission(LinkedHashMap<String, Long>), yalnızca ilk iki anahtarı doğrular; ancak src/main/java/org/traccar/storage/DatabaseStorage.java dosyasındaki DatabaseStorage.removePermission(), her harita anahtarını bir sütun tanımlayıcısı olarak SQL WHERE yan tümcesine ekler. Bu nedenle ek anahtar, saldırgan tarafından kontrol edilen bir SQL ifadesine dönüşür ve yönetici e-postası, parola özetleri ve tuzlar dahil olmak üzere rastgele veritabanı değerlerini çıkarabilecek veya koşullu olarak izin satırlarını silebilecek kör boolean veya hata orakeli sağlar. Kimliği doğrulanmamış istekler reddedilir. Bu sorun 6.14.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traccar traccar | < 6.14.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.