CVE-2026-54200
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid jest podatna na lokalne dołączanie plików w funkcji wysyłania wiadomości e-mail, faksów, SMS itp. Poprzez podanie komendy '@@attach' w polu formularza 'scjob' można dołączyć pliki do wiadomości, które następnie może pobrać uwierzytelniony użytkownik. Filtr ograniczający dostęp do folderu konfiguracyjnego David i folderu użytkownika może zostać ominięty przez podanie alternatywnego strumienia danych, co umożliwia pobranie wrażliwych plików, takich jak pliki dostępu innych użytkowników zawierające hasła lub klucz prywatny serwera.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do wrażliwych plików, w tym haseł i kluczy prywatnych, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się aktualizację TeamDavid do wersji Rollout 528 lub nowszej, gdzie funkcja jest domyślnie wyłączona. Należy również ograniczyć uprawnienia użytkowników i monitorować dostęp do wrażliwych plików.
Inne podatności w TeamDavid Webbox
Zobacz wszystkie- CVE-2026-54213Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid udostępnia funkcję umożliwiającą wyłączenie serwera po uzyskaniu dostępu do punktu końcowego /internalRestart. Punkt ten jest dostępny dla niezalogowanych użytkowników przez publiczny internet. Zamiast restartu serwer całkowicie się wyłącza, co pozwala zdalnemu atakującemu na trwałą odmowę usługi bez uwierzytelnienia. Przywrócenie działania wymaga ręcznej interwencji administratora.
- CVE-2026-54212Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy API podatny na przepełnienie bufora. Wysyłając specjalnie spreparowane dane JSON, niezalogowany atakujący może spowodować awarię serwera, co prowadzi do odmowy usługi. W pewnych warunkach przepełnienie bufora może potencjalnie umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
- CVE-2026-54211Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy //serverClient_close.html podatny na przepełnienie bufora w wielu parametrach danych formularza. Wysyłanie zbyt długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
- CVE-2026-54210Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera funkcje przesyłania plików podatne na przepełnienie bufora. Podanie zbyt długiej nazwy pliku w żądaniu przesyłania może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
- CVE-2026-54203Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na wyciek pamięci do nieautoryzowanego aktora. Dostęp do URL „/.well-known/mta-sts.” powoduje odpowiedź z zawartością pamięci. Wielokrotne żądania tego punktu mogą ujawnić wrażliwe informacje, w tym hasła użytkowników. Eksploatacja nie wymaga uwierzytelnienia.
- CVE-2026-54218Wysokie
W aplikacji Webbox firmy Tobit Laboratories AG TeamDavid występuje podatność polegająca na użyciu twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem, co oznacza, że każdy użytkownik mający dostęp do systemu plików serwera lub mogący wyodrębnić pliki z serwera może potencjalnie uzyskać hasła użytkowników.
- CVE-2026-54216Średnie
Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG zawiera podatność na odzwierciedlony atak XSS. Wysyłając specjalnie spreparowany link zawierający dowolną ścieżkę, payload XSS lub parametr „EntryInfo” oraz parametr „!templateName=entryMail”, atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.
- CVE-2026-54214Średnie
Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL „cType”, co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Parametr nie ogranicza odpowiednio znaków kontrolnych, takich jak zakodowane w URL znaki nowej linii („%0a”) czy dwukropki, co umożliwia atakującemu wstrzyknięcie dodatkowych nagłówków, w tym dodatkowych nagłówków Location, do odpowiedzi serwera. Skutkuje to m.in. podatnością na otwarte przekierowanie. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.
- CVE-2026-54209Wysokie
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na przepełnienie bufora podczas zmiany hasła, gdy w ścieżce pliku znajduje się ciąg "(editini)". Aplikacja nie weryfikuje, czy podana ścieżka faktycznie wskazuje plik "Archive.ini", co pozwala atakującemu na wskazanie innego pliku o nadmiernym rozmiarze i spowodowanie przepełnienia bufora. Nieuwierzytelniony atakujący może doprowadzić do awarii serwera, powodując odmowę usługi.
- CVE-2026-54208Wysokie
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid jest podatna na dowolny zapis plików, co pozwala nieuwierzytelnionemu atakującemu na tworzenie lub zapisywanie plików na serwerze z treścią kontrolowaną przez atakującego. Jest to możliwe, ponieważ dane wejściowe użytkownika są zapisywane bezpośrednio do plików bez odpowiedniej walidacji lub ograniczeń typów plików. W rezultacie atakujący może tworzyć pliki (np. .htm) zawierające złośliwy kod JavaScript. Gdy użytkownik uzyska dostęp do tak utworzonego pliku, wyzwalany jest przechowywany cross-site scripting. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.
Oryginalny opis (angielski, źródło NVD)
Tobit Laboratories AG TeamDavid's Webbox is vulnerable to a local file inclusion vulnerability in the send email, fax, SMS, etc. functionality. By specifying an '@@attach' command in the form field 'scjob', files can be attached to a message, which can then be downloaded by an authenticated user. A filter is in place that restricts access to the David con-fig folder and the user folder. However, this filter can be bypassed by specifying an alternate data stream, allowing the download of sensitive files such as other users' access files containing their passwords or the server's private key. This issue affects TeamDavid before Rollout 528. Starting with Rollout 528 (June 30, 2026), the affected functionality is disabled by default and the vulnerabilities are therefore no longer exposed through this functionality.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS