Limitation incorrecte d'un chemin d'accès à un répertoire restreint ('Path Traversal') dans Crafty Controller

Un attaquant exploitant avec succès cette vulnérabilité pourrait obtenir un accès non autorisé aux fichiers sensibles du système, y compris les fichiers de configuration, les journaux et potentiellement les données des utilisateurs. La manipulation de ces fichiers pourrait permettre à l'attaquant de modifier le comportement de l'application, d'injecter du code malveillant ou de compromettre l'intégrité du système. La capacité d'exécution de code à distance amplifie considérablement le risque, permettant à l'attaquant de prendre le contrôle complet du serveur. Cette vulnérabilité présente un risque élevé en raison de sa facilité d'exploitation et de son impact potentiel.

Organizations utilizing Crafty Controller versions 4.5.0 through 4.8.0, particularly those with remote access enabled or lacking robust authentication controls, are at risk. Shared hosting environments where multiple users share the same Crafty Controller instance are also particularly vulnerable.

1. 2026-01-30Disclosure

   disclosure

1. Réservé2026-01-09
2. Publiée2026-01-30
3. Modifiée2026-02-02
4. EPSS mis à jour2026-03-23

La mitigation immédiate consiste à mettre à jour Crafty Controller vers la version 4.8.0, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre l'accès au composant Configuration de Sauvegarde aux utilisateurs authentifiés et autorisés uniquement. Implémentez des règles de pare-feu applicatif (WAF) pour bloquer les requêtes contenant des séquences de traversal de chemin (par exemple, '..'). Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte. Après la mise à jour, vérifiez l'intégrité du système en effectuant un test de pénétration pour confirmer que la vulnérabilité a été corrigée.