Onjuiste beperking van een padnaam tot een beperkte directory ('Path Traversal') in Crafty Controller

Een succesvolle exploitatie van CVE-2026-0805 kan ernstige gevolgen hebben. Een aanvaller kan via path traversal toegang krijgen tot gevoelige bestanden op het systeem, deze wijzigen of zelfs remote code uitvoeren. Dit kan leiden tot dataverlies, compromittering van de server en verdere uitbreiding van de aanval naar andere systemen binnen het netwerk. De mogelijkheid tot remote code execution maakt dit een bijzonder kritieke kwetsbaarheid, vergelijkbaar met scenario's waarbij een aanvaller volledige controle over het systeem kan verwerven.

Organizations utilizing Crafty Controller versions 4.5.0 through 4.8.0, particularly those with remote access enabled or lacking robust authentication controls, are at risk. Shared hosting environments where multiple users share the same Crafty Controller instance are also particularly vulnerable.

1. 2026-01-30Disclosure

   disclosure

1. Gereserveerd2026-01-09
2. Gepubliceerd2026-01-30
3. Gewijzigd2026-02-02
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-0805 is het upgraden van Crafty Controller naar versie 4.8.0 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de Backup Configuration component via een firewall of proxy. Controleer de toegangsrechten op de bestanden en directories die door de Backup Configuration component worden gebruikt en zorg ervoor dat deze zo beperkt mogelijk zijn. Implementeer logging en monitoring om verdachte activiteiten te detecteren.