CVE-2025-63419

CrushFTP antes da versão 11.3.7_60 é vulnerável a Injeção de HTML. O servidor baseado na web possui um recurso onde os usuários podem compartilhar arquivos; o recurso reflete o nome do arquivo em um campo de corpo de e‑mail sem sanitizações, levando à Injeção de HTML.

CWE

CWE-79 — Neutralização Incorreta de Entrada Durante a Geração de Páginas Web (Cross‑site Scripting)

CVSS v3.1 Base Score: 3.5 (Low)

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Resumo

O servidor baseado na web do CrushFTP possui um recurso onde os usuários podem compartilhar arquivos; o recurso reflete o nome do arquivo em um campo de corpo de e‑mail sem sanitizações, levando à Injeção de HTML. Embora o recurso suporte intencionalmente o uso limitado de código HTML, a falta de sanitizações torna esta injeção não intencional e representa um baixo impacto na integridade.

Passos para reproduzir

1. Navegue até http://127.0.0.1:8080/
2. Selecione um arquivo (Caso não haja arquivos, um invasor deve enviar um e depois prosseguir com as outras etapas)
3. Clique em 'Renomear' e renomeie o arquivo para:

test<h1>HACKED</h1>test.txt

4. Selecione o arquivo
5. Clique em 'Compartilhar' e observe a Injeção de HTML não intencional:

Crédito

Muntadhar M. Ahmed (almuntadhar0x01)