CVE-2026-54212
KrytyczneCVSS 9.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy API podatny na przepełnienie bufora. Wysyłając specjalnie spreparowane dane JSON, niezalogowany atakujący może spowodować awarię serwera, co prowadzi do odmowy usługi. W pewnych warunkach przepełnienie bufora może potencjalnie umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
Ocena ryzyka
Ryzyko obejmuje przerwy w działaniu usług oraz potencjalne zdalne przejęcie serwera przez niezalogowanego atakującego, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie TeamDavid do wersji Rollout 528 lub nowszej, gdzie funkcja jest domyślnie wyłączona. Do czasu aktualizacji należy ograniczyć dostęp do API.
Inne podatności w TeamDavid Webbox
Zobacz wszystkie- CVE-2026-54213Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid udostępnia funkcję umożliwiającą wyłączenie serwera po uzyskaniu dostępu do punktu końcowego /internalRestart. Punkt ten jest dostępny dla niezalogowanych użytkowników przez publiczny internet. Zamiast restartu serwer całkowicie się wyłącza, co pozwala zdalnemu atakującemu na trwałą odmowę usługi bez uwierzytelnienia. Przywrócenie działania wymaga ręcznej interwencji administratora.
- CVE-2026-54211Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy //serverClient_close.html podatny na przepełnienie bufora w wielu parametrach danych formularza. Wysyłanie zbyt długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
- CVE-2026-54210Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera funkcje przesyłania plików podatne na przepełnienie bufora. Podanie zbyt długiej nazwy pliku w żądaniu przesyłania może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.
- CVE-2026-54203Krytyczne
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na wyciek pamięci do nieautoryzowanego aktora. Dostęp do URL „/.well-known/mta-sts.” powoduje odpowiedź z zawartością pamięci. Wielokrotne żądania tego punktu mogą ujawnić wrażliwe informacje, w tym hasła użytkowników. Eksploatacja nie wymaga uwierzytelnienia.
- CVE-2026-54218Wysokie
W aplikacji Webbox firmy Tobit Laboratories AG TeamDavid występuje podatność polegająca na użyciu twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem, co oznacza, że każdy użytkownik mający dostęp do systemu plików serwera lub mogący wyodrębnić pliki z serwera może potencjalnie uzyskać hasła użytkowników.
- CVE-2026-54216Średnie
Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG zawiera podatność na odzwierciedlony atak XSS. Wysyłając specjalnie spreparowany link zawierający dowolną ścieżkę, payload XSS lub parametr „EntryInfo” oraz parametr „!templateName=entryMail”, atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.
- CVE-2026-54214Średnie
Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL „cType”, co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Parametr nie ogranicza odpowiednio znaków kontrolnych, takich jak zakodowane w URL znaki nowej linii („%0a”) czy dwukropki, co umożliwia atakującemu wstrzyknięcie dodatkowych nagłówków, w tym dodatkowych nagłówków Location, do odpowiedzi serwera. Skutkuje to m.in. podatnością na otwarte przekierowanie. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.
- CVE-2026-54209Wysokie
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na przepełnienie bufora podczas zmiany hasła, gdy w ścieżce pliku znajduje się ciąg "(editini)". Aplikacja nie weryfikuje, czy podana ścieżka faktycznie wskazuje plik "Archive.ini", co pozwala atakującemu na wskazanie innego pliku o nadmiernym rozmiarze i spowodowanie przepełnienia bufora. Nieuwierzytelniony atakujący może doprowadzić do awarii serwera, powodując odmowę usługi.
- CVE-2026-54208Wysokie
Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid jest podatna na dowolny zapis plików, co pozwala nieuwierzytelnionemu atakującemu na tworzenie lub zapisywanie plików na serwerze z treścią kontrolowaną przez atakującego. Jest to możliwe, ponieważ dane wejściowe użytkownika są zapisywane bezpośrednio do plików bez odpowiedniej walidacji lub ograniczeń typów plików. W rezultacie atakujący może tworzyć pliki (np. .htm) zawierające złośliwy kod JavaScript. Gdy użytkownik uzyska dostęp do tak utworzonego pliku, wyzwalany jest przechowywany cross-site scripting. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.
- CVE-2026-54207Średnie
Funkcjonalność przenoszenia archiwum („!ArcEntryMove”) w Webbox TeamDavid firmy Tobit Laboratories AG akceptuje dowolną ścieżkę, która może być ustawiona na lokalizacje sieciowe przy użyciu ścieżek UNC (np. „\\Serwer\Udział”). Serwer przetwarza te ścieżki bez walidacji, co powoduje próby połączeń wychodzących do kontrolowanych przez atakującego serwerów SMB. Umożliwia to uwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Jeśli połączenia wychodzące na port 445 (SMB) są dozwolone, atakujący mogą wykorzystać to do ataków typu SMB relay lub kradzieży poświadczeń. Eksploatacja parametru „pathname” jest możliwa bez uwierzytelnienia. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.
Oryginalny opis (angielski, źródło NVD)
Tobit Laboratories AG TeamDavid's Webbox application implements an API endpoint that is vulnerable to a buffer overflow condition. By submitting a specially crafted JSON body, such as one that is at least 8 characters long and begins with a number, an unauthenticated attacker can cause the server to crash, resulting in denial of service. Depending on the stack state or if a stack canary can be disclosed through another vulnerability, this buffer overflow could potentially lead to remote code execution and full compromise of the server. This issue affects TeamDavid before Rollout 528. Starting with Rollout 528 (June 30, 2026), the affected functionality is disabled by default and the vulnerabilities are therefore no longer exposed through this functionality.