CVE-2025-14700criticalCWE-1336

CVE-2025-14700: fallo crítico en Arcadia Technology, LLC Crafty Controller

Improper Neutralization of Special Elements Used in a Template Engine in Crafty Controller

Publicada el

Seguir esta CVE+ Monitorear Crafty Controller

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9.9epss 6.6%
de la publicación al armael mismo día
Publicada en NVD17 dic
1ª PoC17 dic
En resumen

Un fallo en la característica de webhook de Crafty Controller permite que usuarios autenticados inyecten código malicioso a través de plantillas, ejecutando comandos en el servidor de forma remota.

Detalle técnico

Vulnerabilidad CWE-1336 en el componente Webhook Template que no neutraliza apropiadamente la entrada del usuario antes del procesamiento de plantillas. Un atacante autenticado puede inyectar directivas maliciosas de plantilla para lograr ejecución remota de código en el sistema afectado.

Resumen generado y traducido por IA a partir de la descripción oficial.
An input neutralization vulnerability in the Webhook Template component of Crafty Controller allows a remote, authenticated attacker to perform remote code execution via Server Side Template Injection.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Arcadia Technology, LLC · Crafty Controller
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Arcadia Technology, LLC Crafty Controller

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-1064HIGHImproper Neutralization of HTTP Headers for Scripting Syntax in Crafty Controller 4EPSS 0.8%CVE-2026-13716CRITICALPath Traversal: '.../...//' in Crafty ControllerEPSS 0.8%CVE-2026-0963CRITICALImproper Limitation of a Pathname to a Restricted Directory ('Path Traversal') in Crafty ControllerEPSS 0.7%CVE-2026-0805HIGHImproper Limitation of a Pathname to a Restricted Directory ('Path Traversal') in Crafty ControllerEPSS 0.7%CVE-2026-5652CRITICALAuthorization Bypass Through User-Controlled Key in Crafty ControllerEPSS 0.4%CVE-2025-14701HIGHImproper Neutralization of Input During Web Page Generation ('Cross-site Scripting') in Crafty ControllerEPSS 0.3%