CVE-2026-54208

Tobit Laboratories AG TeamDavid's Webbox uygulaması, kimliği doğrulanmamış bir saldırganın sunucu üzerinde saldırgan tarafından kontrol edilen içerikle dosya oluşturmasına veya mevcut dosyalara yazmasına olanak tanıyan rastgele dosya yazma zafiyetine sahiptir. Bu durum, kullanıcı girişinin uygun bir doğrulama yapılmadan veya dosya türleri üzerinde kısıtlama olmaksızın doğrudan dosyalara yazılması nedeniyle mümkündür. Sonuç olarak, bir saldırgan kötü amaçlı JavaScript kodu içeren dosyalar (örneğin .htm) oluşturabilir. Bir kullanıcı bu şekilde oluşturulmuş bir dosyaya eriştiğinde, depolanan siteler arası betik çalıştırma (XSS) tetiklenir. Bu sorun, Rollout 528 öncesindeki TeamDavid sürümlerini etkilemektedir. Rollout 528 (30 Haziran 2026) ile birlikte, etkilenen işlev varsayılan olarak devre dışı bırakılmıştır ve bu nedenle zafiyetler artık bu işlev aracılığıyla ortaya çıkmamaktadır.