CVE-2025-63419

CrushFTP avant 11.3.7_60 est vulnérable à l'injection HTML. Le serveur web dispose d'une fonctionnalité permettant aux utilisateurs de partager des fichiers, qui reflète le nom du fichier dans un champ emailbody sans assainissement, conduisant à une injection HTML.

CWE

CWE-79 — Neutralisation incorrecte de l'entrée lors de la génération de pages Web (Cross-site Scripting)

Score de base CVSS v3.1 : 3,5 (Faible)

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Résumé

Le serveur web CrushFTP dispose d'une fonctionnalité permettant aux utilisateurs de partager des fichiers, qui reflète le nom du fichier dans un champ emailbody sans assainissement, conduisant à une injection HTML. Bien que la fonctionnalité prenne intentionnellement en charge une utilisation limitée du code HTML, l'absence d'assainissement rend cette injection involontaire et a un faible impact sur l'intégrité.

Étapes pour reproduire

1. Accédez à http://127.0.0.1:8080/
2. Sélectionnez un fichier (Au cas où il n'y a aucun fichier, un attaquant doit en télécharger un puis procéder aux autres étapes)
3. Cliquez sur "Renommer" et renommez le fichier en :

test<h1>HACKED</h1>test.txt

4. Sélectionnez le fichier
5. Cliquez sur "Partager" et observez l'injection HTML involontaire :

Crédit

Muntadhar M. Ahmed (almuntadhar0x01)