CVE-2026-12070

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid udostępnia funkcję umożliwiającą wyłączenie serwera po uzyskaniu dostępu do punktu końcowego /internalRestart. Punkt ten jest dostępny dla niezalogowanych użytkowników przez publiczny internet. Zamiast restartu serwer całkowicie się wyłącza, co pozwala zdalnemu atakującemu na trwałą odmowę usługi bez uwierzytelnienia. Przywrócenie działania wymaga ręcznej interwencji administratora.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy API podatny na przepełnienie bufora. Wysyłając specjalnie spreparowane dane JSON, niezalogowany atakujący może spowodować awarię serwera, co prowadzi do odmowy usługi. W pewnych warunkach przepełnienie bufora może potencjalnie umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy //serverClient_close.html podatny na przepełnienie bufora w wielu parametrach danych formularza. Wysyłanie zbyt długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera funkcje przesyłania plików podatne na przepełnienie bufora. Podanie zbyt długiej nazwy pliku w żądaniu przesyłania może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na wyciek pamięci do nieautoryzowanego aktora. Dostęp do URL „/.well-known/mta-sts.” powoduje odpowiedź z zawartością pamięci. Wielokrotne żądania tego punktu mogą ujawnić wrażliwe informacje, w tym hasła użytkowników. Eksploatacja nie wymaga uwierzytelnienia.

W aplikacji Webbox firmy Tobit Laboratories AG TeamDavid występuje podatność polegająca na użyciu twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem, co oznacza, że każdy użytkownik mający dostęp do systemu plików serwera lub mogący wyodrębnić pliki z serwera może potencjalnie uzyskać hasła użytkowników.

Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG zawiera podatność na odzwierciedlony atak XSS. Wysyłając specjalnie spreparowany link zawierający dowolną ścieżkę, payload XSS lub parametr „EntryInfo” oraz parametr „!templateName=entryMail”, atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.

Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL „cType”, co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Parametr nie ogranicza odpowiednio znaków kontrolnych, takich jak zakodowane w URL znaki nowej linii („%0a”) czy dwukropki, co umożliwia atakującemu wstrzyknięcie dodatkowych nagłówków, w tym dodatkowych nagłówków Location, do odpowiedzi serwera. Skutkuje to m.in. podatnością na otwarte przekierowanie. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na przepełnienie bufora podczas zmiany hasła, gdy w ścieżce pliku znajduje się ciąg "(editini)". Aplikacja nie weryfikuje, czy podana ścieżka faktycznie wskazuje plik "Archive.ini", co pozwala atakującemu na wskazanie innego pliku o nadmiernym rozmiarze i spowodowanie przepełnienia bufora. Nieuwierzytelniony atakujący może doprowadzić do awarii serwera, powodując odmowę usługi.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid jest podatna na dowolny zapis plików, co pozwala nieuwierzytelnionemu atakującemu na tworzenie lub zapisywanie plików na serwerze z treścią kontrolowaną przez atakującego. Jest to możliwe, ponieważ dane wejściowe użytkownika są zapisywane bezpośrednio do plików bez odpowiedniej walidacji lub ograniczeń typów plików. W rezultacie atakujący może tworzyć pliki (np. .htm) zawierające złośliwy kod JavaScript. Gdy użytkownik uzyska dostęp do tak utworzonego pliku, wyzwalany jest przechowywany cross-site scripting. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.