FICHE CVE

CVE-2020-5246

Publiée le 2020-07-14 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations du système de suivi GPS Traccar utilisant LDAP pour l'authentification sont concernées. Un attaquant disposant d'un compte utilisateur standard peut contourner la logique de sécurité via un nom d'utilisateur spécifiquement conçu pour s'octroyer des privilèges d'administrateur. Cette attaque est relativement facile à exécuter via le réseau et ne nécessite l'interaction d'aucun autre utilisateur.

CVSS 3.17.7 ÉLEVÉE

Type de faiblesse

CWE-90 Injection · CWE-74

Publiée2020-07-14

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Traccar GPS Tracking System before version 4.9 has a LDAP injection vulnerability. It occurs when user input is being used in LDAP search filter. By providing specially crafted input, an attacker can modify the logic of the LDAP query and get admin privileges. The issue only impacts instances with LDAP configuration and where users can craft their own names. This has been patched in version 4.9.