CVE-2026-54199
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
TeamDavid Webbox jest podatny na wstrzykiwanie nagłówków HTTP przez treść żądania w funkcji przechowywania linków (//ServerClient_celink.htm), która jest dołączana do celu przekierowania w odpowiedzi HTTP 302. Jeśli dodany zostanie znak nowej linii, zostanie on również dodany do linku przekierowania, co umożliwia kontrolę nad nagłówkami odpowiedzi. Problem dotyczy TeamDavid do wersji Rollout 524.
Ocena ryzyka
Ryzyko obejmuje możliwość manipulowania odpowiedziami HTTP, co może prowadzić do ataków typu response splitting i otwartych przekierowań.
Rekomendacja
Zaleca się aktualizację TeamDavid do wersji nowszej niż Rollout 524 oraz wdrożenie walidacji danych wejściowych, aby blokować znaki nowej linii w treści żądań.
Inne podatności w TeamDavid Webbox
Zobacz wszystkie- CVE-2026-54213Krytyczne
Aplikacja TeamDavid Webbox udostępnia endpoint /internalRestart, który pozwala na wyłączenie serwera. Endpoint jest dostępny dla nieuwierzytelnionych użytkowników przez publiczny internet, a zamiast restartu serwer całkowicie się wyłącza. Atakujący może w ten sposób spowodować trwałą odmowę usługi, a przywrócenie działania wymaga ręcznej interwencji administratora.
- CVE-2026-54212Krytyczne
Endpoint API w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora. Wysłanie specjalnie spreparowanego ciała JSON (co najmniej 8 znaków, zaczynającego się od cyfry) przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W zależności od stanu stosu lub możliwości ujawnienia canary, przepełnienie bufora może potencjalnie prowadzić do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54211Krytyczne
Endpoint //serverClient_close.html w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora w wielu parametrach danych formularza. Przesyłanie nadmiernie długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54210Krytyczne
Funkcjonalności przesyłania plików w aplikacji TeamDavid Webbox są podatne na przepełnienie bufora. Podanie nadmiernie długiej nazwy pliku w żądaniu przesyłania pliku przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54203Krytyczne
Aplikacja TeamDavid Webbox ma podatność na wyciek pamięci, która pozwala nieautoryzowanemu aktorowi na odczyt wrażliwych informacji. Dostęp do URL „/.well-known/mta-sts.” powoduje, że aplikacja odpowiada zawartością pamięci. Poprzez wielokrotne żądania tego endpointu atakujący może uzyskać dostęp do wrażliwych informacji, w tym haseł użytkowników. Eksploitacja nie wymaga uwierzytelnienia.
- CVE-2026-54218Wysokie
Aplikacja TeamDavid Webbox używa twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem. Każdy użytkownik mający dostęp do systemu plików serwera lub mogący w inny sposób wyodrębnić pliki z serwera (patrz podatność „Random File Read”) może potencjalnie uzyskać hasła dotkniętych użytkowników.
- CVE-2026-54217Średnie
Podatność na trwały XSS w aplikacji TeamDavid Webbox. Atakujący może wysłać e-mail zawierający złośliwy kod JavaScript, który zostanie wykonany, gdy użytkownik otworzy wiadomość.
- CVE-2026-54216Średnie
Podatność na odbity XSS w aplikacji TeamDavid Webbox. Poprzez wysłanie specjalnie spreparowanego linku z dowolną ścieżką, payloadem XSS lub parametrem 'EntryInfo' oraz parametrem '!templateName=entryMail', atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku.
- CVE-2026-54215Średnie
Podatność na otwarte przekierowanie w aplikacji TeamDavid Webbox poprzez parametr 'replyUrl'. Atakujący może stworzyć link w aplikacji, który po odwiedzeniu przekierowuje przeglądarkę użytkownika na dowolną stronę trzeciej strony, co może być wykorzystane do ataków phishingowych.
- CVE-2026-54214Średnie
Aplikacja TeamDavid Webbox firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL "cType", co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Ze względu na brak ograniczeń dla znaków kontrolnych, takich jak zakodowane znaki nowej linii ("%0a") czy dwukropki, atakujący mogą wstrzykiwać dodatkowe nagłówki, w tym dodatkowe nagłówki Location, co prowadzi m.in. do podatności na otwarte przekierowanie. Problem dotyczy TeamDavid do wersji Rollout 524.
Oryginalny opis (angielski, źródło NVD)
Tobit Laboratories AG TeamDavid's Webbox is vulnerable to HTTP header injection through the request body in the application's link storing functionality (//ServerClient_celink.htm), which is appended to the redirect target in the 302 HTTP response. If a line feed is added, this will also be added to the redirect link, resulting in the ability to control the response headers. This issue affects TeamDavid through Rollout 524.