CVE-2025-63420

CrushFTP11 anterior a 11.3.7_57 es vulnerable a una inyección de HTML almacenado en el Panel de Administración de CrushFTP (Informes / "Who Created Folder"), lo que permite la ejecución persistente de HTML en sesiones de administración.

CWE

CWE-79 — Neutralización incorrecta de la entrada durante la generación de páginas web (Cross-site Scripting)

CVSS v3.1 Puntuación Base: 4.1 (Medio)

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

Resuelto en

Según lo indicado en el registro de cambios del proveedor ( https://crushftp.com/version11_build.html ), las versiones 11.3.7_57 y posteriores no están afectadas.

_57: corrección de URL de inicio de sesión y corrección de cierre de sesión, y una inyección HTML menor para informes: CVE-2025-63420

Resumen

Una vulnerabilidad de inyección de HTML almacenado en el Panel de Administración de CrushFTP (Informes / "Who Created Folder") permite a atacantes autenticados con permisos para crear carpetas inyectar códigos HTML maliciosos.

Pasos para reproducir

1. Navegue a http://127.0.0.1:8080/
2. Cree una nueva carpeta con el siguiente payload:

<h1>HACKED</h1>test

3. Navegue a http://127.0.0.1:8080/WebInterface/admin/index.html, haga clic en "Reports" y seleccione "Who Created Folder":
4. Haga clic en "Run Report"
5. Espere a que se cargue el informe, después de que se cargue, desplácese hacia abajo y observe la inyección HTML:
6. Por razones de la interfaz de usuario, es posible que desee crear 2 carpetas dentro del mismo payload para que se muestre la inyección HTML.

Créditos

Muntadhar M. Ahmed (almuntadhar0x01)