CVE-2025-63420

CrushFTP11, संस्करण 11.3.7_57 से पहले, CrushFTP एडमिन पैनल (रिपोर्ट्स / "Who Created Folder") में संगृहीत HTML इंजेक्शन के लिए संवेदनशील है, जो एडमिन सत्रों में स्थायी HTML निष्पादन सक्षम करता है।

CWE

CWE-79 — वेब पेज जनरेशन के दौरान इनपुट का अनुचित न्यूट्रलाइज़ेशन (क्रॉस-साइट स्क्रिप्टिंग)

CVSS v3.1 आधार स्कोर: 4.1 (मध्यम)

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

समाधान किया गया

जैसा कि विक्रेता के चेंजलॉग ( https://crushftp.com/version11_build.html ) में उल्लेख किया गया है, संस्करण 11.3.7_57 और बाद के संस्करण प्रभावित नहीं हैं।

_57:लॉगिन URL फिक्स और सत्र किकिंग फिक्स, और रिपोर्ट्स के लिए एक मामूली HTMLi: CVE-2025-63420

सारांश

CrushFTP एडमिन पैनल (रिपोर्ट्स / 'Who Created Folder') में एक संगृहीत HTMLi भेद्यता प्रमाणित हमलावरों को, जिनके पास फ़ोल्डर बनाने की अनुमतियाँ हैं, दुर्भावनापूर्ण HTML कोड इंजेक्ट करने की अनुमति देती है।

पुनरुत्पादन के चरण