TREK is a collaborative travel planner. Prior to 3.3.0, getSharedTripData in server/src/services/shareService.ts returns days, assignments, dayNotes, and places through GET /api/shared/:token even when the trip owner disables share_map. The client hides the map, but the public JSON response still includes the itinerary and place names, coordinates, addresses, descriptions, notes, and prices.
Anyone holding the valid share token can therefore read location and route information that the owner explicitly chose not to share, although the random token remains required and the flaw does not permit modification. This issue is fixed in version 3.3.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
mauriceboe:trek
Ссылки 4
https://github.com/liketrek/TREK/commit/19064b39176660f3be3a2df198c87949504046e2
security-advisories@github.com
https://github.com/liketrek/TREK/pull/1520
security-advisories@github.com
https://github.com/liketrek/TREK/releases/tag/v3.3.0
security-advisories@github.com
https://github.com/liketrek/TREK/security/advisories/GHSA-9hc8-p7gm-p7mx
security-advisories@github.com