CVE-2026-54200 in TeamDavid
Zusammenfassung
von VulDB • 07.08.2026
Bei Tobit Laboratories AG TeamDavid Webbox besteht eine lokale Datei-Inklusionslücke (Local File Inclusion) in der Funktion zum Senden von E-Mails, Faxen, SMS usw. Durch Angeben eines '@@attach'-Befehls im Formularfeld 'scjob' können Dateien an eine Nachricht angehängt werden, die anschließend von einem authentifizierten Benutzer heruntergeladen werden kann. Es ist ein Filter vorhanden, der den Zugriff auf den David-Konfigurationsordner und den Benutzerverzeichnis einschränkt. Dieser Filter kann jedoch umgangen werden, indem alternativ Alternate Data Streams angegeben werden, was das Herunterladen sensibler Dateien ermöglicht, wie etwa Zugriffsdateien anderer Benutzer mit deren Passwörtern oder dem privaten Schlüssel des Servers. Diese Schwachstelle betrifft TeamDavid bis einschließlich Rollout 524.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.