CVE-2025-63419

CrushFTP 11.3.7_60 이전 버전은 HTML Injection에 취약합니다. 웹 기반 서버에는 사용자가 파일을 공유할 수 있는 기능이 있으며, 이 기능은 파일 이름을 이메일 본문 필드에 반영하는데, 이때 적절한 검증이 이루어지지 않아 HTML Injection이 발생합니다.

CWE

CWE-79 — 웹 페이지 생성 중 입력의 부적절한 중화 (교차 사이트 스크립팅)

CVSS v3.1 기본 점수: 3.5 (낮음)

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

요약

CrushFTP 웹 기반 서버에는 사용자가 파일을 공유할 수 있는 기능이 있으며, 이 기능은 파일 이름을 이메일 본문 필드에 반영하는데, 이때 적절한 검증이 이루어지지 않아 HTMLi가 발생합니다. 이 기능은 의도적으로 제한된 HTML 코드 사용을 지원하지만, 검증 부족으로 인해 이 인젝션은 의도치 않은 것이며 낮은 무결성 영향을 미칩니다.

재현 단계

1. http://127.0.0.1:8080/ 로 이동합니다.
2. 파일을 선택합니다. (파일이 없는 경우 공격자는 파일을 업로드한 후 다른 단계를 진행해야 합니다.)
3. "Rename"을 클릭하고 파일 이름을 다음으로 변경합니다:

test<h1>HACKED</h1>test.txt