CVE-2025-14701
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność neutralizacji danych wejściowych w komponencie Server MOTD w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie ataku typu stored XSS poprzez modyfikację MOTD serwera.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub innych działań w kontekście ofiary.
Rekomendacja
Zaktualizuj Crafty Controller do wersji, która poprawnie neutralizuje dane wejściowe w komponencie Server MOTD.
Inne podatności w Crafty Controller
Zobacz wszystkie- CVE-2026-90821Średnie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych w polu formularza Webhook URL w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na przeprowadzenie trwałego ataku cross-site scripting (Stored XSS) poprzez złośliwe dane wprowadzone do formularza.
- CVE-2026-18516Krytyczne
Podatność na nieprawidłowe kodowanie wyjścia w komponencie Audit Logs w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie trwałego cross-site scripting poprzez wstrzyknięcie nagłówka HTTP.
- CVE-2026-13716Krytyczne
W Crafty Controller występuje podatność na przechodzenie poza katalog (path traversal) w imporcie serwera i przesyłaniu plików przez administratora. Umożliwia zdalnemu, uwierzytelnionemu atakującemu przesyłanie plików do dowolnych ścieżek dozwolonych dla aplikacji Crafty Controller oraz wykonanie zdalnego kodu.
- CVE-2025-14700Krytyczne
Podatność na neutralizację danych wejściowych w komponencie Webhook Template w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie zdalnego kodu poprzez atak typu Server Side Template Injection.
Oryginalny opis (angielski, źródło NVD)
An input neutralization vulnerability in the Server MOTD component of Crafty Controller allows a remote, unauthenticated attacker to perform stored XSS via server MOTD modification.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS