CVE-2026-54214
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Aplikacja TeamDavid Webbox firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL "cType", co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Ze względu na brak ograniczeń dla znaków kontrolnych, takich jak zakodowane znaki nowej linii ("%0a") czy dwukropki, atakujący mogą wstrzykiwać dodatkowe nagłówki, w tym dodatkowe nagłówki Location, co prowadzi m.in. do podatności na otwarte przekierowanie. Problem dotyczy TeamDavid do wersji Rollout 524.
Ocena ryzyka
Ryzyko obejmuje możliwość przeprowadzenia ataków phishingowych przez otwarte przekierowania oraz manipulację odpowiedziami HTTP, co może naruszyć zaufanie użytkowników i ułatwić dalsze ataki.
Rekomendacja
Zaleca się natychmiastową aktualizację TeamDavid do wersji nowszej niż Rollout 524 oraz wdrożenie walidacji i sanityzacji parametrów URL, aby blokować znaki kontrolne i niedozwolone nagłówki.
Inne podatności w TeamDavid Webbox
Zobacz wszystkie- CVE-2026-54213Krytyczne
Aplikacja TeamDavid Webbox udostępnia endpoint /internalRestart, który pozwala na wyłączenie serwera. Endpoint jest dostępny dla nieuwierzytelnionych użytkowników przez publiczny internet, a zamiast restartu serwer całkowicie się wyłącza. Atakujący może w ten sposób spowodować trwałą odmowę usługi, a przywrócenie działania wymaga ręcznej interwencji administratora.
- CVE-2026-54212Krytyczne
Endpoint API w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora. Wysłanie specjalnie spreparowanego ciała JSON (co najmniej 8 znaków, zaczynającego się od cyfry) przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W zależności od stanu stosu lub możliwości ujawnienia canary, przepełnienie bufora może potencjalnie prowadzić do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54211Krytyczne
Endpoint //serverClient_close.html w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora w wielu parametrach danych formularza. Przesyłanie nadmiernie długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54210Krytyczne
Funkcjonalności przesyłania plików w aplikacji TeamDavid Webbox są podatne na przepełnienie bufora. Podanie nadmiernie długiej nazwy pliku w żądaniu przesyłania pliku przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.
- CVE-2026-54203Krytyczne
Aplikacja TeamDavid Webbox ma podatność na wyciek pamięci, która pozwala nieautoryzowanemu aktorowi na odczyt wrażliwych informacji. Dostęp do URL „/.well-known/mta-sts.” powoduje, że aplikacja odpowiada zawartością pamięci. Poprzez wielokrotne żądania tego endpointu atakujący może uzyskać dostęp do wrażliwych informacji, w tym haseł użytkowników. Eksploitacja nie wymaga uwierzytelnienia.
- CVE-2026-54218Wysokie
Aplikacja TeamDavid Webbox używa twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem. Każdy użytkownik mający dostęp do systemu plików serwera lub mogący w inny sposób wyodrębnić pliki z serwera (patrz podatność „Random File Read”) może potencjalnie uzyskać hasła dotkniętych użytkowników.
- CVE-2026-54217Średnie
Podatność na trwały XSS w aplikacji TeamDavid Webbox. Atakujący może wysłać e-mail zawierający złośliwy kod JavaScript, który zostanie wykonany, gdy użytkownik otworzy wiadomość.
- CVE-2026-54216Średnie
Podatność na odbity XSS w aplikacji TeamDavid Webbox. Poprzez wysłanie specjalnie spreparowanego linku z dowolną ścieżką, payloadem XSS lub parametrem 'EntryInfo' oraz parametrem '!templateName=entryMail', atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku.
- CVE-2026-54215Średnie
Podatność na otwarte przekierowanie w aplikacji TeamDavid Webbox poprzez parametr 'replyUrl'. Atakujący może stworzyć link w aplikacji, który po odwiedzeniu przekierowuje przeglądarkę użytkownika na dowolną stronę trzeciej strony, co może być wykorzystane do ataków phishingowych.
- CVE-2026-54209Wysokie
Aplikacja TeamDavid Webbox obsługuje zmiany haseł za pomocą funkcji wyzwalanej przez dodanie ciągu „(editini)” w ścieżce pliku, zapisując nowe hasło do wskazanego pliku „Archive.ini”. Jednak aplikacja nie weryfikuje, czy podana ścieżka faktycznie odnosi się do pliku „Archive.ini”. Jeśli atakujący wskaże inny plik o nadmiernym rozmiarze, dochodzi do przepełnienia bufora. Ta podatność pozwala nieuwierzytelnionemu atakującemu na awarię serwera i odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
Tobit Laboratories AG TeamDavid's Webbox application is vulnerable to HTTP header injection through the “cType” URL parameter, which allows arbitrary modification of the Content-Type header in HTTP responses. Because the parameter does not properly restrict control characters such as URL-encoded newlines (“%0a”) or colons, attackers can inject additional headers including extra Location headers into the server’s response. This results e.g. in an open redirect vulnerability. This issue affects TeamDavid through Rollout 524.