CVE-2026-54202
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność na przechodzenie po katalogach w funkcji tworzenia archiwów w TeamDavid Webbox. Atakujący może manipulować ścieżką archiwum, co pozwala na tworzenie folderów w dowolnych lokalizacjach, w tym w katalogach wrażliwych, takich jak C:\Windows.
Ocena ryzyka
Ryzyko obejmuje możliwość zapisu plików w newralgicznych miejscach systemu, co może prowadzić do eskalacji uprawnień lub zakłócenia działania systemu.
Rekomendacja
Zaleca się aktualizację TeamDavid do wersji nowszej niż Rollout 524 oraz wdrożenie walidacji ścieżek wejściowych w funkcji tworzenia archiwów.
Inne podatności w TeamDavid Webbox
Zobacz wszystkie- CVE-2026-54213Krytyczne
Aplikacja TeamDavid Webbox udostępnia endpoint /internalRestart, który pozwala na wyłączenie serwera. Endpoint jest dostępny dla nieuwierzytelnionych użytkowników przez publiczny internet, a zamiast restartu serwer całkowicie się wyłącza. Atakujący może w ten sposób spowodować trwałą odmowę usługi, a przywrócenie działania wymaga ręcznej interwencji administratora.
- CVE-2026-54212Krytyczne
Endpoint API w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora. Wysłanie specjalnie spreparowanego ciała JSON (co najmniej 8 znaków, zaczynającego się od cyfry) przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W zależności od stanu stosu lub możliwości ujawnienia canary, przepełnienie bufora może potencjalnie prowadzić do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54211Krytyczne
Endpoint //serverClient_close.html w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora w wielu parametrach danych formularza. Przesyłanie nadmiernie długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54210Krytyczne
Funkcjonalności przesyłania plików w aplikacji TeamDavid Webbox są podatne na przepełnienie bufora. Podanie nadmiernie długiej nazwy pliku w żądaniu przesyłania pliku przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54203Krytyczne
Aplikacja TeamDavid Webbox ma podatność na wyciek pamięci, która pozwala nieautoryzowanemu aktorowi na odczyt wrażliwych informacji. Dostęp do URL „/.well-known/mta-sts.” powoduje, że aplikacja odpowiada zawartością pamięci. Poprzez wielokrotne żądania tego endpointu atakujący może uzyskać dostęp do wrażliwych informacji, w tym haseł użytkowników. Eksploitacja nie wymaga uwierzytelnienia.
- CVE-2026-54218Wysokie
Aplikacja TeamDavid Webbox używa twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem. Każdy użytkownik mający dostęp do systemu plików serwera lub mogący w inny sposób wyodrębnić pliki z serwera (patrz podatność „Random File Read”) może potencjalnie uzyskać hasła dotkniętych użytkowników.
- CVE-2026-54217Średnie
Podatność na trwały XSS w aplikacji TeamDavid Webbox. Atakujący może wysłać e-mail zawierający złośliwy kod JavaScript, który zostanie wykonany, gdy użytkownik otworzy wiadomość.
- CVE-2026-54216Średnie
Podatność na odbity XSS w aplikacji TeamDavid Webbox. Poprzez wysłanie specjalnie spreparowanego linku z dowolną ścieżką, payloadem XSS lub parametrem 'EntryInfo' oraz parametrem '!templateName=entryMail', atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku.
- CVE-2026-54215Średnie
Podatność na otwarte przekierowanie w aplikacji TeamDavid Webbox poprzez parametr 'replyUrl'. Atakujący może stworzyć link w aplikacji, który po odwiedzeniu przekierowuje przeglądarkę użytkownika na dowolną stronę trzeciej strony, co może być wykorzystane do ataków phishingowych.
- CVE-2026-54214Średnie
Aplikacja TeamDavid Webbox firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL "cType", co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Ze względu na brak ograniczeń dla znaków kontrolnych, takich jak zakodowane znaki nowej linii ("%0a") czy dwukropki, atakujący mogą wstrzykiwać dodatkowe nagłówki, w tym dodatkowe nagłówki Location, co prowadzi m.in. do podatności na otwarte przekierowanie. Problem dotyczy TeamDavid do wersji Rollout 524.
Oryginalny opis (angielski, źródło NVD)
Tobit Laboratories AG TeamDavid's Webbox is vulnerable to a path traversal vulnerability in the archive creation functionality. Because the archive path is user-controlled and insufficiently validated, an attacker can manipulate the input to traverse directories. This allows the creation of folders in arbitrary locations, including sensitive directories such as C:\Windows or for different users. This issue affects TeamDavid through Rollout 524.