mmakingdom/cve-2025-63419CrushFTP prima della versione 11.3.7_60 è vulnerabile a HTML Injection. Il server basato sul Web ha una funzione che consente agli utenti di condividere file; la funzione riflette il nome del file in un campo emailbody senza sanificazioni, portando a HTML Injection.
CrushFTP prima della versione 11.3.7_60 è vulnerabile a HTML Injection. Il server basato su Web ha una funzione che consente agli utenti di condividere file; tale funzione riflette il nome del file in un campo emailbody senza sanificazioni, portando a HTML Injection.
CWE-79 — Neutralizzazione impropria dell'input durante la generazione di pagine web (Cross-site Scripting)
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
Il server basato su Web di CrushFTP ha una funzione che consente agli utenti di condividere file; tale funzione riflette il nome del file in un campo emailbody senza sanificazioni, portando a HTMLi. Sebbene la funzione supporti intenzionalmente l'uso limitato di codice HTML, la mancanza di sanificazioni rende questa iniezione non intenzionale e comporta un basso impatto sull'integrità.
test<h1>HACKED</h1>test.txt
Muntadhar M. Ahmed (almuntadhar0x01)