Crafty Controller: Gespeichertes Cross-Site Scripting in Activity Logs
Zusammenfassung
Crafty Controller, ein Webpanel zur Verwaltung von Minecraft-Spielservern, speichert den vom Client gelieferten Header X-Real-IP oder X-Forwarded-For im Audit-Log, wenn eine Anmeldung für einen bestehenden Benutzer fehlschlägt. Die Seite Activity Logs fügt diese gespeicherten Werte als HTML in die Seite ein. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann dadurch Skriptcode ablegen, der im Browser eines Superusers mit dessen Rechten ausgeführt wird, sobald dieser Activity Logs öffnet. Laut dem Melder lässt sich dies zu einer Befehlsausführung auf dem Server verketten; diese Verkettung ist im CNA-Eintrag nicht bestätigt.
Betroffen
- Crafty Controller 0 bis 4.10.8 (gemäss CNA-Eintrag).
Behoben in
- Upgrade auf Version 4.11.0 oder neuer (gemäss CNA-Eintrag; gegen die Versionshinweise des Herstellers prüfen).
Umgehung
- Keine Workaround-Massnahme vom Hersteller veröffentlicht.
- Crafty nur hinter einem Reverse Proxy betreiben, der X-Real-IP und X-Forwarded-For überschreibt oder entfernt.
- Das Panel nicht direkt ins Internet exponieren; den Zugriff per VPN oder IP-Allowlist einschränken.
- Anzahl der Superuser-Konten begrenzen und Activity Logs bis zum Upgrade nicht öffnen.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gemeldet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Technische Details sind im GitLab-Issue öffentlich verfügbar. EPSS 0.00291.
Unsere Empfehlung
- Crafty Controller auf Version 4.11.0 oder neuer aktualisieren.
- Bis dahin das Panel nicht ins Internet exponieren und den Zugriff auf vertrauenswürdige Netze beschränken.
- Prüfen, ob Forwarding-Header Crafty erreichen können und ob Reverse Proxies sie entfernen.
- Das Audit-Log auf Einträge mit HTML- oder Skriptinhalt prüfen und die Superuser-Konten überprüfen.
- Crafty Controller auf der aktuellen Release-Linie halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitLab issue #743 (reporter, technical details) gitlab.com
- VulDB entry 421288 vuldb.com
- Strix AI CVE overview CVE-2026-18516 www.strix.ai
- SecurityFocus CVE-2026-18516 www.securityfocus.com
- Vulners PT-2026-115610 (EPSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:46.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.