CVE-2026-54208
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Aplikacja TeamDavid Webbox jest podatna na dowolny zapis plików, co pozwala nieuwierzytelnionemu atakującemu na tworzenie lub zapisywanie do istniejących plików na serwerze z treścią kontrolowaną przez atakującego. Jest to możliwe, ponieważ dane wejściowe użytkownika są zapisywane bezpośrednio do plików bez odpowiedniej walidacji lub ograniczeń typów plików. W rezultacie atakujący może tworzyć pliki (np. .htm) zawierające złośliwy kod JavaScript. Gdy użytkownik uzyska dostęp do tak utworzonego pliku, wyzwalany jest przechowywany cross-site scripting.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwego skryptu do serwera, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji i innych ataków.
Rekomendacja
Zaleca się zastosowanie poprawek producenta oraz wprowadzenie walidacji i ograniczeń typów plików przy zapisie danych wejściowych. Należy również regularnie skanować serwer pod kątem nieautoryzowanych plików.
Inne podatności w TeamDavid Webbox
Zobacz wszystkie- CVE-2026-54213Krytyczne
Aplikacja TeamDavid Webbox udostępnia endpoint /internalRestart, który pozwala na wyłączenie serwera. Endpoint jest dostępny dla nieuwierzytelnionych użytkowników przez publiczny internet, a zamiast restartu serwer całkowicie się wyłącza. Atakujący może w ten sposób spowodować trwałą odmowę usługi, a przywrócenie działania wymaga ręcznej interwencji administratora.
- CVE-2026-54212Krytyczne
Endpoint API w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora. Wysłanie specjalnie spreparowanego ciała JSON (co najmniej 8 znaków, zaczynającego się od cyfry) przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W zależności od stanu stosu lub możliwości ujawnienia canary, przepełnienie bufora może potencjalnie prowadzić do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54211Krytyczne
Endpoint //serverClient_close.html w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora w wielu parametrach danych formularza. Przesyłanie nadmiernie długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54210Krytyczne
Funkcjonalności przesyłania plików w aplikacji TeamDavid Webbox są podatne na przepełnienie bufora. Podanie nadmiernie długiej nazwy pliku w żądaniu przesyłania pliku przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54203Krytyczne
Aplikacja TeamDavid Webbox ma podatność na wyciek pamięci, która pozwala nieautoryzowanemu aktorowi na odczyt wrażliwych informacji. Dostęp do URL „/.well-known/mta-sts.” powoduje, że aplikacja odpowiada zawartością pamięci. Poprzez wielokrotne żądania tego endpointu atakujący może uzyskać dostęp do wrażliwych informacji, w tym haseł użytkowników. Eksploitacja nie wymaga uwierzytelnienia.
- CVE-2026-54218Wysokie
Aplikacja TeamDavid Webbox używa twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem. Każdy użytkownik mający dostęp do systemu plików serwera lub mogący w inny sposób wyodrębnić pliki z serwera (patrz podatność „Random File Read”) może potencjalnie uzyskać hasła dotkniętych użytkowników.
- CVE-2026-54217Średnie
Podatność na trwały XSS w aplikacji TeamDavid Webbox. Atakujący może wysłać e-mail zawierający złośliwy kod JavaScript, który zostanie wykonany, gdy użytkownik otworzy wiadomość.
- CVE-2026-54216Średnie
Podatność na odbity XSS w aplikacji TeamDavid Webbox. Poprzez wysłanie specjalnie spreparowanego linku z dowolną ścieżką, payloadem XSS lub parametrem 'EntryInfo' oraz parametrem '!templateName=entryMail', atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku.
- CVE-2026-54215Średnie
Podatność na otwarte przekierowanie w aplikacji TeamDavid Webbox poprzez parametr 'replyUrl'. Atakujący może stworzyć link w aplikacji, który po odwiedzeniu przekierowuje przeglądarkę użytkownika na dowolną stronę trzeciej strony, co może być wykorzystane do ataków phishingowych.
- CVE-2026-54214Średnie
Aplikacja TeamDavid Webbox firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL "cType", co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Ze względu na brak ograniczeń dla znaków kontrolnych, takich jak zakodowane znaki nowej linii ("%0a") czy dwukropki, atakujący mogą wstrzykiwać dodatkowe nagłówki, w tym dodatkowe nagłówki Location, co prowadzi m.in. do podatności na otwarte przekierowanie. Problem dotyczy TeamDavid do wersji Rollout 524.
Oryginalny opis (angielski, źródło NVD)
Tobit Laboratories AG TeamDavid's Webbox application is vulnerable to arbitrary file write, allowing an unauthenticated attacker to create or write into existing files on the server with attacker-controlled content. This is possible because user input is written directly to files without proper validation or restriction on file types. As a result, an attacker can create files (e.g., .htm), containing malicious JavaScript code. When a user accesses a file created in this way, stored cross-site scripting is triggered. This issue affects TeamDavid through Rollout 524.