CVE-2025-63419

O CrushFTP anterior à versão 11.3.7_60 é vulnerável a Injeção de HTML. O Servidor Baseado na Web possui um recurso onde os usuários podem compartilhar arquivos; o recurso reflete o nome do arquivo em um campo de corpo de e-mail sem sanitização, levando a Injeção de HTML.

CWE

CWE-79 — Neutralização Incorreta de Entrada Durante a Geração de Página Web (Cross-site Scripting)

Pontuação Base CVSS v3.1: 3.5 (Baixa)

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Resumo

O Servidor Baseado na Web do CrushFTP possui um recurso onde os usuários podem compartilhar arquivos; o recurso reflete o nome do arquivo em um campo de corpo de e-mail sem sanitização, levando a HTMLi. Embora o recurso suporte intencionalmente o uso limitado de código HTML, a falta de sanitização torna esta injeção não intencional e representa um baixo impacto na integridade.

Passos para reproduzir

1. Navegue até http://127.0.0.1:8080/
2. Selecione um arquivo (Apenas no caso de não haver arquivos, um atacante deve enviar um e então prosseguir com os outros passos)
3. Clique em "Rename" e renomeie o arquivo para:

test<h1>HACKED</h1>test.txt

4. Selecione o arquivo
5. Clique em "Share" e observe a HTMLi não intencional:

Créditos

Muntadhar Ahmed