CVE-2026-108737highCWE-640

CVE-2026-108737: falha de alta gravidade em Traccar

Traccar through 6.16.0 Weak Password Recovery via TokenManager Token Purpose Confusion

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar traccar

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.6epss 0.3%
Traccar through 6.16.0 contains a weak password recovery vulnerability that allows attackers to reuse password reset tokens as session credentials because TokenManager does not bind tokens to a purpose. Attackers holding a leaked reset link can obtain a full session via /api/session or change passwords via /api/password/update, retaining access for seven days even after the victim resets their password.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Produtos afetados
Traccar · Traccar
CVEs relacionadas — Traccar

No mesmo produto, das mais perigosas para as menos.

CVE-2020-5246HIGHLDAP injection vulnerability in Traccar GPS Tracking SystemEPSS 0.9%CVE-2026-108738LOWTraccar 5.7 through 6.16.0 Login CSRF via OpenID Connect CallbackEPSS 0.1%