CVE-2026-90821
ŚrednieCVSS 5.4Streszczenie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych w polu formularza Webhook URL w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na przeprowadzenie trwałego ataku cross-site scripting (Stored XSS) poprzez złośliwe dane wprowadzone do formularza.
Ocena ryzyka
Złośliwy skrypt może zostać zapisany i wykonany w przeglądarce innych użytkowników panelu, co może prowadzić do kradzieży sesji, przejęcia konta lub nieautoryzowanych działań w imieniu ofiary. Ryzyko dotyczy organizacji korzystających z Crafty Controller z dostępem wielu użytkowników.
Rekomendacja
Zaktualizuj Crafty Controller do wersji zawierającej poprawkę, a do czasu aktualizacji ogranicz dostęp do funkcji webhooków wyłącznie do zaufanych administratorów. Dodatkowo wdróż walidację i sanityzację danych wejściowych w polu Webhook URL oraz monitoruj nietypowe wartości w konfiguracji.
Inne podatności w Crafty Controller
Zobacz wszystkie- CVE-2026-18516Krytyczne
Podatność na nieprawidłowe kodowanie wyjścia w komponencie Audit Logs w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie trwałego cross-site scripting poprzez wstrzyknięcie nagłówka HTTP.
- CVE-2026-13716Krytyczne
W Crafty Controller występuje podatność na przechodzenie poza katalog (path traversal) w imporcie serwera i przesyłaniu plików przez administratora. Umożliwia zdalnemu, uwierzytelnionemu atakującemu przesyłanie plików do dowolnych ścieżek dozwolonych dla aplikacji Crafty Controller oraz wykonanie zdalnego kodu.
- CVE-2025-14700Krytyczne
Podatność na neutralizację danych wejściowych w komponencie Webhook Template w Crafty Controller pozwala zdalnemu, uwierzytelnionemu atakującemu na wykonanie zdalnego kodu poprzez atak typu Server Side Template Injection.
- CVE-2025-14701Wysokie
Podatność neutralizacji danych wejściowych w komponencie Server MOTD w Crafty Controller pozwala zdalnemu, nieuwierzytelnionemu atakującemu na przeprowadzenie ataku typu stored XSS poprzez modyfikację MOTD serwera.
Oryginalny opis (angielski, źródło NVD)
An input neutralization vulnerability in the Webhook URL form field component of Crafty Controller allows a remote, authenticated attacker to perform stored XSS via malicious form input
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS