CVE-2026-54217
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Aplikacja TeamDavid Webbox jest podatna na trwały atak XSS. Atakujący może wysłać wiadomość e-mail zawierającą złośliwy kod JavaScript. Gdy użytkownik otworzy tę wiadomość, wyzwalany jest trwały skrypt XSS.
Ocena ryzyka
Atakujący może wykraść dane sesji, przejąć konto użytkownika lub wykonywać nieautoryzowane działania w kontekście zalogowanego użytkownika. Może to prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację TeamDavid do wersji Rollout 528 lub nowszej, gdzie funkcja jest domyślnie wyłączona. Należy również wdrożyć filtrowanie i sanityzację danych wejściowych w aplikacji.
Inne podatności w TeamDavid
Zobacz wszystkie- CVE-2026-54215Średnie
TeamDavid Webbox zawiera podatność na otwarte przekierowanie poprzez parametr 'replyUrl'. Atakujący może stworzyć URL w aplikacji, który po odwiedzeniu przekierowuje przeglądarkę użytkownika na dowolną stronę trzeciej strony. Może to być wykorzystane do ataków phishingowych, gdzie użytkownicy otrzymują link z zaufanej domeny, ale są przekierowywani na fałszywą stronę.
- CVE-2026-54205Średnie
Funkcjonalność przechowywania linków w TeamDavid Webbox akceptuje parametr 'pathname' z ścieżkami UNC, co pozwala uwierzytelnionym atakującym na wywołanie połączeń wychodzących do kontrolowanych przez siebie serwerów SMB. Może to prowadzić do ujawnienia informacji uwierzytelniających NTLM, takich jak hasze NTLM, oraz umożliwić ataki typu SMB relay lub kradzież poświadczeń. Podatność można wykorzystać bez uwierzytelnienia.
- CVE-2026-54199Średnie
TeamDavid Webbox jest podatny na wstrzykiwanie nagłówków HTTP przez treść żądania w funkcji przechowywania linków (//ServerClient_celink.htm), która jest dołączana do celu przekierowania w odpowiedzi HTTP 302. Dodanie znaku nowej linii pozwala na kontrolę nagłówków odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
Tobit Laboratories AG TeamDavid's Webbox application is vulnerable to a stored XSS vulnerability. An attacker can send an email containing malicious JavaScript code. When a user accesses the email, the stored cross-site scripting is triggered. This issue affects TeamDavid before Rollout 528. Starting with Rollout 528 (June 30, 2026), the affected functionality is disabled by default and the vulnerabilities are therefore no longer exposed through this functionality.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS