CVE-2026-27693

traccar allows XML injection in KML and GPX exports

Публикация: 05.05.2026·Обновлена: 06.05.2026, 15:43·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Traccar is an open source GPS tracking system. In org.traccar:traccar versions starting at 6.11.1 before 6.13.0, the KML and GPX export functionality writes device names to XML output without proper escaping. An attacker with low privileges can create a device with a crafted name that injects XML content into exported files. If another user exports and opens the affected KML or GPX file, this can corrupt the file structure and spoof exported location data. This issue is fixed in version 6.13.0.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

traccar / traccar

{
  "status": "affected",
  "version": ">= 6.11.1, < 6.13.0"
}

CVSS: оценки и векторы

CVSS 3.1 · cve5.4

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:L

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователятребуется

S · Область воздействияменяется

C · Конфиденциальностьнет

I · Целостностьнизкое

A · Доступностьнизкое

Классы CWE

CWE-91 · XML инъекция

Источники и ссылки

PoC / эксплойт · github.com · cve Материал · github.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:16:08.161752+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T19:27:00.377909+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T19:27:00.377909+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T19:27:00.377909+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:16:08.161752+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T19:27:00.377909+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:16
Данные обновлены04.11.2026, 00:12
Данные обновлены03.11.2026, 00:12
Данные обновлены02.11.2026, 00:10
Данные обновлены31.10.2026, 11:57
Данные обновлены29.10.2026, 12:20
Появилась ссылка на PoC28.10.2026, 22:27

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-104203 Traccar: Authentication bypass via path parameters exposes protected device media traccar / traccar	Высокий	7.5	—		04.11.2026
CVE-2026-52852 Traccar: Uncontrolled Infinite Loop DoS via Group Parent Cycle traccar / traccar	Высокий	6.5	0,53 %	PoC	17.09.2026
CVE-2026-52851 Traccar: Authenticated Blind SQL Injection in DELETE /api/permissions traccar / traccar	Критический	7.1	0,39 %	PoC	17.09.2026
CVE-2026-44314 Traccar: Missing edit authorization on device image upload allows read-only users to write files traccar / traccar	Высокий	5.3	0,19 %	PoC	26.05.2026
CVE-2026-27694 traccar allows stored HTML injection in notification emails traccar / traccar	Высокий	5.4	0,16 %	PoC	05.05.2026