CVE-2025-68930highCWE-1385

CVE-2025-68930: falha de alta gravidade em traccar

Traccar Missing Origin Validation in WebSockets

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar traccar

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

41Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 7.1epss 0.6%
da publicação à arma70 dias
Publicada no NVD23 de fev.
1ª PoC+70d
Em resumo

A conexão WebSocket do Traccar não verifica de onde as requisições vêm, permitindo que atacantes sequestrem a sessão de rastreamento GPS em tempo real de um usuário autenticado através de um site malicioso.

Detalhe técnico

Vulnerabilidade de Cross-Site WebSocket Hijacking no endpoint `/api/socket` causada pela falta de validação do header Origin durante o handshake WebSocket. Um atacante pode estabelecer uma conexão WebSocket autenticada usando o cookie JSESSIONID da vítima a partir de uma origem diferente, contornando a Same Origin Policy e ganhando acesso bidirecional aos dados e comandos de rastreamento GPS.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Versions of the Traccar open-source GPS tracking system up to and including 6.11.1 contain a Cross-Site WebSocket Hijacking (CSWSH) vulnerability in the `/api/socket` endpoint. The application fails to validate the `Origin` header during the WebSocket handshake. This allows a remote attacker to bypass the Same Origin Policy (SOP) and establish a full-duplex WebSocket connection using a legitimate user's credentials (JSESSIONID). As of time of publication, it is unclear whether a fix is available.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N
Produtos afetados
traccar · traccar
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — traccar

No mesmo produto, das mais perigosas para as menos.

CVE-2024-24809HIGHTraccar vulnerable to Path Traversal: 'dir/../../filename' and Unrestricted Upload of File with Dangerous TypeEPSS 54.4%CVE-2024-31214CRITICALTraccar's unrestricted file upload vulnerability in device image upload could lead to remote code executionEPSS 17.6%CVE-2025-61666HIGHTraccar Unauthenticated Local File Inclusion on Windows - Leakage of Traccar Config FileEPSS 1.3%CVE-2026-104203HIGHTraccar: Authentication bypass via path parameters exposes protected device mediaEPSS 0.8%CVE-2023-50729HIGHAn unrestricted file upload vulnerability in traccar leads to RCEEPSS 0.6%CVE-2026-52852MEDIUMTraccar: Uncontrolled Infinite Loop DoS via Group Parent CycleEPSS 0.5%