Vulnerabilidad en TeamDavid de Tobit Laboratories AG (CVE-2026-54204)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

07/08/2026

Última modificación:

24/10/2026

Descripción

La funcionalidad de búsqueda de Webbox de TeamDavid de Tobit Laboratories AG acepta un parámetro ’pathnameroot’, que puede configurarse para ubicaciones de red utilizando rutas UNC (p. ej., ’\\Server\Share’). El servidor procesa estas rutas sin validación, lo que resulta en intentos de conexión saliente a servidores SMB controlados por el atacante. Esto permite a los atacantes no autenticados activar que el servidor se autentique en puntos finales SMB arbitrarios, exponiendo potencialmente información de autenticación NTLM (como hashes NTLM). Si se permiten las conexiones salientes al puerto 445 (SMB), los atacantes pueden usar esto para realizar ataques de retransmisión SMB o robo de credenciales. La explotación del parámetro ’pathnameroot’ es posible sin autenticación.<br /> <br /> Este problema afecta a TeamDavid hasta el Rollout 524.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.70 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Alto
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

7.70

Gravedad 4.0

ALTA

Vulnerabilidad en TeamDavid de Tobit Laboratories AG (CVE-2026-54204)

Descripción

Impacto

Referencias a soluciones, herramientas e información