CVE-2026-18516
KrytyczneCVSS 9.6Streszczenie
Podatność na nieprawidłowe kodowanie wyjścia w komponencie Audit Logs w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie trwałego cross-site scripting poprzez wstrzyknięcie nagłówka HTTP.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika przeglądającego logi audytu, co może prowadzić do kradzieży sesji lub działań w imieniu zalogowanego administratora.
Rekomendacja
Zaktualizuj Crafty Controller do wersji zawierającej poprawkę oraz rozważ ograniczenie dostępu do panelu i logów audytu do zaufanych sieci.
Inne podatności w Crafty Controller
Zobacz wszystkie- CVE-2026-90821Średnie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych w polu formularza Webhook URL w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na przeprowadzenie trwałego ataku cross-site scripting (Stored XSS) poprzez złośliwe dane wprowadzone do formularza.
- CVE-2026-13716Krytyczne
W Crafty Controller występuje podatność na przechodzenie poza katalog (path traversal) w imporcie serwera i przesyłaniu plików przez administratora. Umożliwia zdalnemu, uwierzytelnionemu atakującemu przesyłanie plików do dowolnych ścieżek dozwolonych dla aplikacji Crafty Controller oraz wykonanie zdalnego kodu.
- CVE-2025-14700Krytyczne
Podatność na neutralizację danych wejściowych w komponencie Webhook Template w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie zdalnego kodu poprzez atak typu Server Side Template Injection.
- CVE-2025-14701Wysokie
Podatność neutralizacji danych wejściowych w komponencie Server MOTD w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie ataku typu stored XSS poprzez modyfikację MOTD serwera.
Oryginalny opis (angielski, źródło NVD)
An output escaping vulnerability in the Audit Logs component of Crafty Controller allows a remote, unauthenticated attacker to perform stored cross-site scripting via HTTP header injection
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS