FICHE CVE

CVE-2026-54202

Publiée le 2026-08-07 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Webbox de TeamDavid (jusqu'au Rollout 524) contient une faille dans son outil de création d'archives qui permet à un utilisateur connecté de contourner les restrictions de dossiers. Un attaquant disposant d'un compte valide peut créer de nouveaux dossiers à des emplacements arbitraires sur le serveur, y compris dans des répertoires système sensibles comme `C:\Windows`. Il s'agit d'une attaque de faible complexité qui peut être exécutée à distance via le réseau sans nécessiter d'interaction de la part d'autres utilisateurs.

CVSS 4.08.5 ÉLEVÉE

Type de faiblesse

Traversée de répertoires absolue · CWE-36

Publiée2026-08-07

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

Description officielle du NVD (en anglais)

Tobit Laboratories AG TeamDavid's Webbox is vulnerable to a path traversal vulnerability in the archive creation functionality. Because the archive path is user-controlled and insufficiently validated, an attacker can manipulate the input to traverse directories. This allows the creation of folders in arbitrary locations, including sensitive directories such as C:\Windows or for different users. This issue affects TeamDavid before Rollout 528. Starting with Rollout 528 (June 30, 2026), the affected functionality is disabled by default and the vulnerabilities are therefore no longer exposed through this functionality.