CVE-2025-14700

RCE przez Server Side Template Injection w Crafty Controller (Webhook Template)

CVSS 9.9v3.1pub. 2025-12-17upd. 2025-12-23

Podatność klasy Server Side Template Injection w komponencie Webhook Template aplikacji Crafty Controller umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Wysoki wynik CVSS 9.9 oraz zmiana zakresu (Scope: Changed) wskazują na szczególnie poważne konsekwencje, wykraczające poza granice samej aplikacji.

▸ Pokaż oryginał (EN)

An input neutralization vulnerability in the Webhook Template component of Crafty Controller allows a remote, authenticated attacker to perform remote code execution via Server Side Template Injection.

🤖 Analiza AI

Jak działa

Komponent Webhook Template nie neutralizuje poprawnie danych wejściowych dostarczanych przez użytkownika, co prowadzi do podatności typu Server Side Template Injection (CWE-1336). Atakujący może wstrzyknąć złośliwe wyrażenia szablonowe do pola Webhook Template, które są następnie interpretowane i wykonywane po stronie serwera. Pozwala to na przejęcie kontroli nad procesem serwera i wykonanie dowolnych poleceń systemowych.

Skutki

Zdalny uwierzytelniony atakujący może wykonać dowolny kod na serwerze hostującym Crafty Controller, co może skutkować pełnym przejęciem systemu, kradzieżą danych oraz lateral movement w sieci wewnętrznej.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://gitlab.com/crafty-controller/crafty-4/-/issues/646). Do czasu aktualizacji należy ograniczyć dostęp do interfejsu Crafty Controller wyłącznie do zaufanych użytkowników oraz monitorować aktywność kont z uprawnieniami do konfiguracji Webhook Template.