CVE-2026-21404
MediumCVSS 6.3Summary
NAVTOR NavBox w wersjach do 4.16.1.20 zawiera twardo zakodowane dane uwierzytelniające w swojej implementacji Windows Communication Foundation (SOAP). W przypadku włączonej funkcjonalności SOAP, lokalny atakujący może wydobyć te dane, omijając zamierzony proces transferu.
Risk Assessment
Udana autoryzacja w interfejsie SOAP umożliwia dostęp do uprzywilejowanych metod WCF, co pozwala atakującemu na zapis lub nadpisanie plików w zdefiniowanych przez aplikację ścieżkach. To stwarza poważne zagrożenie dla integralności danych i bezpieczeństwa systemu.
Recommendation
Zaleca się wyłączenie funkcjonalności SOAP, jeśli nie jest potrzebna, oraz zaktualizowanie oprogramowania do najnowszej wersji, aby usunąć twardo zakodowane dane uwierzytelniające.
Original NVD description (English source)
NAVTOR NavBox through version 4.16.1.20 contains hard-coded credentials within its Windows Communication Foundation (SOAP) implementation. If the SOAP functionality is enabled, a local attacker can extract credentials to bypass the intended transfer workflow. Successful authentication against the SOAP interface grants access to privileged WCF methods, enabling an attacker to write or overwrite files within application-defined paths.