CVE-2026-52852— Traccar 组父级循环导致无限循环拒绝服务漏洞
一分钟漏洞结论
影响对象
traccar traccar
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Traccar 是一个开源的 GPS 追踪系统。在 6.14.0 版本之前，具有管理组和请求报告权限的已认证用户可以创建一个循环的“组-父级”层级结构，并为该层级中的设备请求行程或停靠点报告。 允许父级循环，而 在遍历组父级时，既没有循环检测，也没有使用访问集合（visited set）或深度限制。 通过 和 触发的基于存储的后端查找过程永远不会终止；当客户端断开连接后，仍会占用一个 Jetty 工作线程并持续高 CPU 使用。若此类请求被重复发起，可能导致 Web/API 工作线程池耗尽。基于位置摄取缓存的查找路
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-52852 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Traccar: Uncontrolled Infinite Loop DoS via Group Parent Cycle
来源: CVE Program / CVE List V5
Vulnerability Description
Traccar is an open source GPS tracking system. Prior to 6.14.0, an authenticated user with permission to manage groups and request reports can create a cyclic group-parent hierarchy and request a trips or stops report for a device in that hierarchy. org.traccar.api.resource.GroupResource permits the parent cycle, while org.traccar.helper.model.AttributeUtil.lookup follows group parents without cycle detection, a visited set, or a depth limit. The storage-backed lookup reached through TripsConfig. and ReportUtils.slowTripsAndStops never terminates, pins a Jetty worker at high CPU after the client disconnects, and can exhaust the web/API worker pool when requests are repeated. The position-ingestion cache-backed path is not part of the confirmed affected scope. This issue is fixed in 6.14.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
未经控制的递归
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-52852 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-52852 的情报信息
请登录查看更多情报信息。
CVE-2026-52852 补丁与修复 (1)
CVE-2026-52852 厂商安全公告 (1)
CVE-2026-52852 厂商页面 (1)
-
🔗 Release v6.14.0 · traccar/traccar · GitHub x_refsource_MISC
IV. Related Vulnerabilities
V. Comments for CVE-2026-52852
暂无评论