CVE-2025-63420

CrushFTP11 قبل الإصدار 11.3.7_57 عرضة لحقن HTML مخزّن في لوحة إدارة CrushFTP (التقارير / "Who Created Folder")، مما يتيح تنفيذ HTML مستمر في جلسات الإدارة.

CWE

CWE-79 — التعطيل غير الصحيح للإدخال أثناء توليد صفحة الويب (Cross-site Scripting)

CVSS v3.1 النتيجة الأساسية: 4.1 (متوسط)

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

تم الحل في

كما هو مذكور في سجل التغييرات الخاص بالبائع ( https://crushftp.com/version11_build.html )، الإصدارات 11.3.7_57 والأحدث غير متأثرة.

_57: إصلاح رابط تسجيل الدخول وإصلاح طرد الجلسات، وحقن HTML بسيط للتقارير: CVE-2025-63420

الملخص

ثغرة حقن HTML مخزّنة في لوحة إدارة CrushFTP (التقارير / "Who Created Folder") تسمح للمهاجمين الموثّقين الذين لديهم صلاحيات إنشاء المجلدات بحقن أكواد HTML ضارة.

خطوات إعادة الإنتاج

1. انتقل إلى http://127.0.0.1:8080/