CVE-2025-14700
KrytyczneStreszczenie
Podatność na neutralizację danych wejściowych w komponencie Webhook Template w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie zdalnego kodu poprzez atak typu Server Side Template Injection.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny kod na serwerze, co może prowadzić do przejęcia kontroli nad aplikacją i naruszenia danych.
Rekomendacja
Zaleca się aktualizację Crafty Controller do najnowszej wersji zawierającej poprawkę oraz ograniczenie uprawnień użytkowników.
Inne podatności w Crafty Controller
Zobacz wszystkie- CVE-2026-90821Średnie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych w polu formularza Webhook URL w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na przeprowadzenie trwałego ataku cross-site scripting (Stored XSS) poprzez złośliwe dane wprowadzone do formularza.
- CVE-2026-18516Krytyczne
Podatność na nieprawidłowe kodowanie wyjścia w komponencie Audit Logs w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie trwałego cross-site scripting poprzez wstrzyknięcie nagłówka HTTP.
- CVE-2026-13716Krytyczne
W Crafty Controller występuje podatność na przechodzenie poza katalog (path traversal) w imporcie serwera i przesyłaniu plików przez administratora. Umożliwia zdalnemu, uwierzytelnionemu atakującemu przesyłanie plików do dowolnych ścieżek dozwolonych dla aplikacji Crafty Controller oraz wykonanie zdalnego kodu.
- CVE-2025-14701Wysokie
Podatność neutralizacji danych wejściowych w komponencie Server MOTD w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie ataku typu stored XSS poprzez modyfikację MOTD serwera.
Oryginalny opis (angielski, źródło NVD)
An input neutralization vulnerability in the Webhook Template component of Crafty Controller allows a remote, authenticated attacker to perform remote code execution via Server Side Template Injection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS