Приложение Webbox компании Tobit Laboratories AG TeamDavid уязвимо к произвольной записи файлов, что позволяет
злоумышленник, не прошедший проверку подлинности, может создавать или записывать существующие файлы на
сервер с контентом, контролируемым злоумышленниками. Это возможно, потому что пользователь
ввод записывается непосредственно в файлы без надлежащей проверки или
ограничение на типы файлов. В результате злоумышленник может создавать файлы
(например, .htm), содержащий вредоносный код JavaScript.
Когда пользователь получает доступ
файл, созданный таким образом, запускает сохраненные межсайтовые сценарии. Эта проблема затрагивает TeamDavid при выпуске 524.
Показать оригинальное описание (EN)
Tobit Laboratories AG TeamDavid's Webbox application is vulnerable to arbitrary file write, allowing an unauthenticated attacker to create or write into existing files on the server with attacker-controlled content. This is possible because user input is written directly to files without proper validation or restriction on file types. As a result, an attacker can create files (e.g., .htm), containing malicious JavaScript code. When a user accesses a file created in this way, stored cross-site scripting is triggered. This issue affects TeamDavid through Rollout 524.
Характеристики атаки
Последствия
Строка CVSS v4.0