CVE-2025-68930highCWE-1385

CVE-2025-68930: fallo de gravedad alta en traccar

Traccar Missing Origin Validation in WebSockets

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear traccar

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

41Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 7.1epss 0.6%
de la publicación al arma70 días
Publicada en NVD23 feb
1ª PoC+70d
En resumen

La conexión WebSocket de Traccar no verifica el origen de las solicitudes, permitiendo que atacantes secuestren la sesión de rastreo GPS en tiempo real de un usuario autenticado desde un sitio malicioso.

Detalle técnico

Vulnerabilidad de Cross-Site WebSocket Hijacking en el endpoint `/api/socket` causada por la falta de validación del header Origin durante el handshake WebSocket. Un atacante puede establecer una conexión WebSocket autenticada usando la cookie JSESSIONID de la víctima desde un origen diferente, eludiendo la Same Origin Policy y obteniendo acceso bidireccional a los datos y comandos de rastreo GPS.

Resumen generado y traducido por IA a partir de la descripción oficial.
Versions of the Traccar open-source GPS tracking system up to and including 6.11.1 contain a Cross-Site WebSocket Hijacking (CSWSH) vulnerability in the `/api/socket` endpoint. The application fails to validate the `Origin` header during the WebSocket handshake. This allows a remote attacker to bypass the Same Origin Policy (SOP) and establish a full-duplex WebSocket connection using a legitimate user's credentials (JSESSIONID). As of time of publication, it is unclear whether a fix is available.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
Productos afectados
traccar · traccar
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — traccar

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-24809HIGHTraccar vulnerable to Path Traversal: 'dir/../../filename' and Unrestricted Upload of File with Dangerous TypeEPSS 54.4%CVE-2024-31214CRITICALTraccar's unrestricted file upload vulnerability in device image upload could lead to remote code executionEPSS 17.6%CVE-2025-61666HIGHTraccar Unauthenticated Local File Inclusion on Windows - Leakage of Traccar Config FileEPSS 1.3%CVE-2026-104203HIGHTraccar: Authentication bypass via path parameters exposes protected device mediaEPSS 0.8%CVE-2023-50729HIGHAn unrestricted file upload vulnerability in traccar leads to RCEEPSS 0.6%CVE-2026-52852MEDIUMTraccar: Uncontrolled Infinite Loop DoS via Group Parent CycleEPSS 0.5%