Qué es y cómo funciona
Se ha descubierto una vulnerabilidad de omisión de autenticación (CWE-287) en el software de rastreo GPS Traccar. La falla reside en la función LdapProvider.login(), que no rechaza las contraseñas vacías cuando la autenticación LDAP está habilitada. Esto provoca que los enlaces (binds) LDAP se realicen como enlaces no autenticados. Un atacante que conozca un nombre de usuario válido puede iniciar sesión enviando una contraseña vacía a través de POST /api/session o usando autenticación HTTP Basic, siempre que el directorio LDAP permita este tipo de enlaces no autenticados.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de Traccar desde la 3.15 hasta la 6.17.0 (excluyendo esta última).
Impacto real
El impacto es crítico. Un atacante no autenticado puede obtener una sesión válida para cualquier cuenta del sistema, incluidas las cuentas de administrador. Esto otorga control total sobre la plataforma de rastreo. La técnica se asocia con T1078 – Valid Accounts de MITRE ATT&CK.
Explotación y probabilidad
La vulnerabilidad tiene una puntuación CVSS de 7.4 (Alta). Según el modelo EPSS, la probabilidad de explotación en los próximos 30 días es del 0.5% (percentil 41%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos inmediatamente visibles.
Qué hacer
La mitigación principal y urgente es actualizar inmediatamente a la versión Traccar 6.17.0 o superior, donde esta vulnerabilidad ha sido corregida. Se recomienda revisar los logs de autenticación en busca de intentos de acceso con contraseñas vacías.
| CVE | CVE-2026-126777 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.4 / 10 |
| EPSS | 0.5% en 30 días (percentil 41) |
| CWE | CWE-287 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.