mmakingdom/cve-2025-63419
CrushFTP anterior a 11.3.7_60 es vulnerable a la Inyección HTML. El servidor basado en web tiene una funcionalidad donde los usuarios pueden compartir archivos; la funcionalidad refleja el nombre del archivo en un campo emailbody sin saneamientos, lo que conduce a una Inyección HTML.
CrushFTP anterior a 11.3.7_60 es vulnerable a inyección HTML. El servidor basado en web tiene una función que permite a los usuarios compartir archivos; dicha función refleja el nombre del archivo en un campo del cuerpo del correo electrónico sin sanitización, lo que provoca una inyección HTML.
CWE-79 — Neutralización incorrecta de la entrada durante la generación de páginas web (Cross-site Scripting)
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
El servidor basado en web de CrushFTP tiene una función que permite a los usuarios compartir archivos; dicha función refleja el nombre del archivo en un campo del cuerpo del correo electrónico sin sanitización, lo que provoca una inyección HTML. Si bien la función admite intencionalmente el uso limitado de código HTML, la falta de sanitización hace que esta inyección no sea intencional y plantee un impacto bajo en la integridad.
test<h1>HACKED</h1>test.txt
Muntadhar Ahmed