hossainshadat/cve-2025-63420Prueba de concepto para CVE-2025-63420: inyección de HTML almacenada en el panel de administración de informes de CrushFTP. Incluye pasos de reproducción, puntuación CVSS y ejemplos de payloads para pruebas de XSS autenticado.
CrushFTP11 anterior a 11.3.7_57 es vulnerable a inyección de HTML almacenado en el Panel de Administración de CrushFTP (Informes / "Quién creó la carpeta"), lo que permite la ejecución persistente de HTML en sesiones de administración.
CWE-79 — Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N
Como se indica en el registro de cambios del proveedor ( https://crushftp.com/version11_build.html ), las versiones 11.3.7_57 y posteriores no están afectadas.
_57:corrección de URL de inicio de sesión y corrección de expulsión de sesión, y un HTMLi menor para informes: CVE-2025-63420
Una vulnerabilidad de inyección de HTML almacenado en el Panel de Administración de CrushFTP (Informes / "Quién creó la carpeta") permite a atacantes autenticados con permisos para crear carpetas inyectar códigos HTML maliciosos.
<h1>HACKED</h1>test
