CVE-2025-63420

CrushFTP11 avant la version 11.3.7_57 est vulnérable à une injection HTML stockée dans le panneau d'administration CrushFTP (Rapports / "Who Created Folder"), permettant une exécution HTML persistante dans les sessions administrateur.

CWE

CWE-79 — Mauvaise neutralisation de l'entrée lors de la génération de pages Web (Cross-site Scripting)

Score de base CVSS v3.1 : 4.1 (Moyen)

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

Résolu dans

Comme indiqué dans le journal des modifications du fournisseur ( https://crushftp.com/version11_build.html ), les versions 11.3.7_57 et ultérieures ne sont pas concernées.

_57 : correction de l'URL de connexion et correction de l'expulsion de session, et une HTMLi mineure pour les rapports : CVE-2025-63420

Résumé

Une vulnérabilité HTMLi stockée dans le panneau d'administration CrushFTP (Rapports / 'Who Created Folder') permet à des attaquants authentifiés disposant des autorisations de créer des dossiers d'injecter des codes HTML malveillants.

Étapes pour reproduire

1. Accédez à http://127.0.0.1:8080/
2. Créez un nouveau dossier avec la charge utile suivante :

<h1>HACKED</h1>test

3. Accédez à http://127.0.0.1:8080/WebInterface/admin/index.html, cliquez sur « Rapports » et sélectionnez « Who Created Folder » :
4. Cliquez sur « Exécuter le rapport »
5. Attendez que le rapport se charge, une fois le rapport chargé, faites défiler vers le bas et observez la HTMLi :
6. Pour des raisons d'interface utilisateur, vous devrez peut-être créer 2 dossiers avec la même charge utile pour que la HTMLi s'affiche.

Crédit

Muntadhar M. Ahmed (almuntadhar0x01)