CVE-2026-13716
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
W Crafty Controller występuje podatność na przechodzenie poza katalog (path traversal) w imporcie serwera i przesyłaniu plików przez administratora. Umożliwia zdalnemu, uwierzytelnionemu atakującemu przesyłanie plików do dowolnych ścieżek dozwolonych dla aplikacji Crafty Controller oraz wykonanie zdalnego kodu.
Ocena ryzyka
Ryzyko obejmuje pełne przejęcie serwera, wykonanie złośliwego kodu oraz potencjalną kompromitację całej infrastruktury.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Crafty Controller do wersji z poprawką oraz ograniczenie uprawnień kont użytkowników i wdrożenie walidacji ścieżek plików.
Inne podatności w Crafty Controller
Zobacz wszystkie- CVE-2026-90821Średnie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych w polu formularza Webhook URL w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na przeprowadzenie trwałego ataku cross-site scripting (Stored XSS) poprzez złośliwe dane wprowadzone do formularza.
- CVE-2026-18516Krytyczne
Podatność na nieprawidłowe kodowanie wyjścia w komponencie Audit Logs w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie trwałego cross-site scripting poprzez wstrzyknięcie nagłówka HTTP.
- CVE-2025-14700Krytyczne
Podatność na neutralizację danych wejściowych w komponencie Webhook Template w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie zdalnego kodu poprzez atak typu Server Side Template Injection.
- CVE-2025-14701Wysokie
Podatność neutralizacji danych wejściowych w komponencie Server MOTD w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie ataku typu stored XSS poprzez modyfikację MOTD serwera.
Oryginalny opis (angielski, źródło NVD)
Path traversal in server import and admin file upload in Crafty Controller. Allows a remote, authenticated attacker to upload files to arbitrary paths permitted to the Crafty Controller application and perform remote code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS