Traccar : contournement des contrôles d’accès aux fichiers média

Veille sécuritéBackend & données

P3Élevée

Dans Traccar, un décalage d’interprétation des paramètres de chemin entre `MediaFilter` et Jetty permet à un attaquant non authentifié de contourner les contrôles de session et d’autorisation sur `/api/media/*`. Il peut ainsi lire un fichier média protégé s’il en connaît ou devine l’identifiant d’appareil et le nom; le problème est corrigé dans la version 6.15.0.

IdentifiantCVE-2026-104203

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif6.15.0

Source : NVD — CVE-2026-104203

Analyse technique

Un point-virgule dans le chemin contourne les contrôles de `MediaFilter`, tandis que Jetty transmet encore le chemin non canonique à `ResourceServlet`. L’impact établi est la lecture de fichiers média protégés.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-04T21:17:42.327Z, dans la période demandée; elle précise que le correctif est en version 6.15.0.

ImpactDivulgation en lecture seule de fichiers média protégés, susceptibles de contenir des photos, enregistrements audio ou vidéos.

Versions affectéesTraccar de 5.1 à 6.14.x

Version corrigée6.15.0

ContournementUn proxy inverse qui rejette ou réécrit les paramètres de chemin contenant un point-virgule peut bloquer la requête.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-11-04T21:17:42.327Z

Mise à jour2026-11-04T21:17:42.487Z

Action recommandée

Mettre à niveau vers Traccar 6.15.0; à défaut, configurer le proxy inverse pour rejeter ou réécrire les chemins concernés.

Sources

NVD — CVE-2026-104203

Priorisation DFS : P3 · 1 source(s).