CVE-2025-14700

गंभीरप्रकाशित

क्राफ्टी कंट्रोलर में टेम्पलेट इंजन में प्रयुक्त विशेष तत्वों का अनुचित न्यूट्रलाइज़ेशन

प्रकाशित: 17 दिस॰ 2025
अद्यतन: 17 दिस॰ 2025
सीएनए असाइन करना: GitLab
साक्ष्य देखे गए: 8 अग॰ 2026

प्राथमिक सीवीएसएस

9.9/ 10गंभीर

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

6.6%

कम · अगले 30 दिन

प्रतिशत: 93.6%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

क्राफ्टी कंट्रोलर के वेबहुक टेम्पलेट घटक में एक इनपुट न्यूट्रलाइज़ेशन भेद्यता एक दूरस्थ, प्रमाणित हमलावर को सर्वर साइड टेम्पलेट इंजेक्शन के माध्यम से दूरस्थ कोड निष्पादन करने की अनुमति देती है।

स्रोत

CVE-2025-14700-pocएक्सप्लॉइट
Crafty Controller <= 4.6.1 में प्रमाणित RCE के लिए अवधारणा का प्रमाण
POC_CVE-2025-14700एक्सप्लॉइट
Crafty Controller में प्रमाणित RCE के लिए प्रूफ ऑफ कॉन्सेप्ट

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।