CVE-2025-63420

CrushFTP11 के 11.3.7_57 से पहले के संस्करण CrushFTP एडमिन पैनल (रिपोर्ट्स / "Who Created Folder") में संग्रहीत HTML इंजेक्शन के प्रति संवेदनशील हैं, जो एडमिन सत्रों में स्थायी HTML निष्पादन को सक्षम करता है।

CWE

CWE-79 — वेब पेज निर्माण के दौरान इनपुट का अनुचित तटस्थीकरण (क्रॉस-साइट स्क्रिप्टिंग)

CVSS v3.1 आधार स्कोर: 4.1 (मध्यम)

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

इसमें हल किया गया

विक्रेता के चेंजलॉग ( https://crushftp.com/version11_build.html ) में बताए अनुसार, संस्करण 11.3.7_57 और बाद के संस्करण प्रभावित नहीं हैं।

_57:लॉगिन URL सुधार और सत्र किकिंग सुधार, और रिपोर्ट्स के लिए एक मामूली HTMLi: CVE-2025-63420

सारांश

CrushFTP एडमिन पैनल (रिपोर्ट्स / 'Who Created Folder') में एक संग्रहीत HTMLi भेद्यता प्रमाणित हमलावरों को, जिनके पास फ़ोल्डर बनाने की अनुमति है, दुर्भावनापूर्ण HTML कोड इंजेक्ट करने की अनुमति देती है।

पुनरुत्पादन के चरण