CVE-2025-63419

CrushFTP 11.3.7_60以前のバージョンはHTMLインジェクションに対して脆弱です。Webベースのサーバーにはユーザーがファイルを共有できる機能があり、その機能はファイル名をメール本文フィールドに反映しますが、サニタイズが行われないためHTMLインジェクションにつながります。

CWE

CWE-79 — Webページ生成時の入力の不適切な無効化（クロスサイトスクリプティング）

CVSS v3.1 基本スコア: 3.5 (低)

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

概要

CrushFTPのWebベースサーバーにはユーザーがファイルを共有できる機能があり、その機能はファイル名をメール本文フィールドに反映しますが、サニタイズが行われないためHTMLインジェクション（HTMLi）につながります。この機能は意図的に限定的なHTMLコードの使用をサポートしていますが、サニタイズの欠如により、このインジェクションは意図しないものとなり、低い整合性への影響をもたらします。

再現手順

1. http://127.0.0.1:8080/ にアクセスします。
2. ファイルを選択します（ファイルがない場合、攻撃者は最初にファイルをアップロードしてから次の手順に進む必要があります）。
3. 「Rename」をクリックし、ファイル名を次のように変更します。

test<h1>HACKED</h1>test.txt

4. ファイルを選択します。
5. 「共有」をクリックし、意図しないHTMLインジェクションを確認します。

クレジット

Muntadhar M. Ahmed (almuntadhar0x01)