CVE-2025-63420

CrushFTP11 の 11.3.7_57 より前のバージョンは、CrushFTP 管理パネル（レポート / "Who Created Folder"）において保存型 HTML インジェクションの影響を受け、管理者セッションで永続的な HTML 実行が可能になります。

CWE

CWE-79 — Improper Neutralization of Input During Web Page Generation (クロスサイトスクリプティング)

CVSS v3.1 基本スコア: 4.1 (中)

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

修正バージョン

ベンダーの変更履歴（https://crushftp.com/version11_build.html ）に記載されている通り、バージョン 11.3.7_57 以降は影響を受けません。

_57:ログインURLの修正とセッションキックの修正、およびレポートに関する軽微なHTMLi: CVE-2025-63420

概要

CrushFTP 管理パネル（レポート / "Who Created Folder"）における保存型 HTMLi の脆弱性により、フォルダ作成権限を持つ認証済み攻撃者が悪意のある HTML コードを注入できるようになります。

再現手順

1. http://127.0.0.1:8080/ にアクセスします。
2. 次のペイロードを含む新しいフォルダを作成します。

<h1>HACKED</h1>test

3. http://127.0.0.1:8080/WebInterface/admin/index.html にアクセスし、「レポート」をクリックして「Who Created Folder」を選択します。
4. 「Run Report」をクリックします。
5. レポートの読み込みが完了するのを待ち、スクロールダウンして HTMLi を確認します。
6. UI 上の理由により、HTMLi を表示させるには同じペイロード内で 2 つのフォルダを作成する必要がある場合があります。

クレジット

Muntadhar M. Ahmed（almuntadhar0x01）