CVE-2026-54209
WysokieCVSS 8.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na przepełnienie bufora podczas zmiany hasła, gdy w ścieżce pliku znajduje się ciąg "(editini)". Aplikacja nie weryfikuje, czy podana ścieżka faktycznie wskazuje plik "Archive.ini", co pozwala atakującemu na wskazanie innego pliku o nadmiernym rozmiarze i spowodowanie przepełnienia bufora. Nieuwierzytelniony atakujący może doprowadzić do awarii serwera, powodując odmowę usługi.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego spowodowania awarii serwera przez nieuwierzytelnionego atakującego, co prowadzi do przerw w działaniu usług i potencjalnej utraty dostępności.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie TeamDavid do wersji Rollout 528 lub nowszej, gdzie funkcja jest domyślnie wyłączona. Jeśli aktualizacja nie jest możliwa, należy rozważyć tymczasowe wyłączenie tej funkcjonalności.
Inne podatności w TeamDavid Webbox
Zobacz wszystkie- CVE-2026-54213Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid udostępnia funkcję umożliwiającą wyłączenie serwera po uzyskaniu dostępu do punktu końcowego /internalRestart. Punkt ten jest dostępny dla niezalogowanych użytkowników przez publiczny internet. Zamiast restartu serwer całkowicie się wyłącza, co pozwala zdalnemu atakującemu na trwałą odmowę usługi bez uwierzytelnienia. Przywrócenie działania wymaga ręcznej interwencji administratora.
- CVE-2026-54212Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy API podatny na przepełnienie bufora. Wysyłając specjalnie spreparowane dane JSON, niezalogowany atakujący może spowodować awarię serwera, co prowadzi do odmowy usługi. W pewnych warunkach przepełnienie bufora może potencjalnie umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
- CVE-2026-54211Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy //serverClient_close.html podatny na przepełnienie bufora w wielu parametrach danych formularza. Wysyłanie zbyt długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
- CVE-2026-54210Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera funkcje przesyłania plików podatne na przepełnienie bufora. Podanie zbyt długiej nazwy pliku w żądaniu przesyłania może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
- CVE-2026-54203Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na wyciek pamięci do nieautoryzowanego aktora. Dostęp do URL „/.well-known/mta-sts.” powoduje odpowiedź z zawartością pamięci. Wielokrotne żądania tego punktu mogą ujawnić wrażliwe informacje, w tym hasła użytkowników. Eksploatacja nie wymaga uwierzytelnienia.
- CVE-2026-54218Wysokie
W aplikacji Webbox firmy Tobit Laboratories AG TeamDavid występuje podatność polegająca na użyciu twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem, co oznacza, że każdy użytkownik mający dostęp do systemu plików serwera lub mogący wyodrębnić pliki z serwera może potencjalnie uzyskać hasła użytkowników.
- CVE-2026-54216Średnie
Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG zawiera podatność na odzwierciedlony atak XSS. Wysyłając specjalnie spreparowany link zawierający dowolną ścieżkę, payload XSS lub parametr „EntryInfo” oraz parametr „!templateName=entryMail”, atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.
- CVE-2026-54214Średnie
Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL „cType”, co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Parametr nie ogranicza odpowiednio znaków kontrolnych, takich jak zakodowane w URL znaki nowej linii („%0a”) czy dwukropki, co umożliwia atakującemu wstrzyknięcie dodatkowych nagłówków, w tym dodatkowych nagłówków Location, do odpowiedzi serwera. Skutkuje to m.in. podatnością na otwarte przekierowanie. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.
- CVE-2026-54208Wysokie
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid jest podatna na dowolny zapis plików, co pozwala nieuwierzytelnionemu atakującemu na tworzenie lub zapisywanie plików na serwerze z treścią kontrolowaną przez atakującego. Jest to możliwe, ponieważ dane wejściowe użytkownika są zapisywane bezpośrednio do plików bez odpowiedniej walidacji lub ograniczeń typów plików. W rezultacie atakujący może tworzyć pliki (np. .htm) zawierające złośliwy kod JavaScript. Gdy użytkownik uzyska dostęp do tak utworzonego pliku, wyzwalany jest przechowywany cross-site scripting. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.
- CVE-2026-54207Średnie
Funkcjonalność przenoszenia archiwum („!ArcEntryMove”) w Webbox TeamDavid firmy Tobit Laboratories AG akceptuje dowolną ścieżkę, która może być ustawiona na lokalizacje sieciowe przy użyciu ścieżek UNC (np. „\\Serwer\Udział”). Serwer przetwarza te ścieżki bez walidacji, co powoduje próby połączeń wychodzących do kontrolowanych przez atakującego serwerów SMB. Umożliwia to uwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Jeśli połączenia wychodzące na port 445 (SMB) są dozwolone, atakujący mogą wykorzystać to do ataków typu SMB relay lub kradzieży poświadczeń. Eksploatacja parametru „pathname” jest możliwa bez uwierzytelnienia. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.
Oryginalny opis (angielski, źródło NVD)
Tobit Laboratories AG TeamDavid's Webbox application handles password changes using a function triggered by including the string "(editini)" in the file path, writing the new password to the specified "Archive.ini" file. However, the application does not verify that the provided path actually refers to an "Archive.ini" file. If an attacker specifies a different file with excessive size, a buffer overflow occurs. This vulnerability allows an unauthenticated attacker to crash the server, resulting in denial of service. This issue affects TeamDavid before Rollout 528. Starting with Rollout 528 (June 30, 2026), the affected functionality is disabled by default and the vulnerabilities are therefore no longer exposed through this functionality.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS