CVE-2025-63419

CrushFTP до версии 11.3.7_60 подвержен HTML-инъекции. Веб-сервер имеет функцию, позволяющую пользователям обмениваться файлами; функция отражает имя файла в поле emailbody без санитизации, что приводит к HTML-инъекции.

CWE

CWE-79 — Некорректная нейтрализация входных данных при генерации веб-страницы (межсайтовый скриптинг)

CVSS v3.1 Базовый балл: 3.5 (Низкий)

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

Сводка

Веб-сервер CrushFTP имеет функцию, позволяющую пользователям обмениваться файлами. Эта функция отражает имя файла в поле emailbody без санитизации, что приводит к HTML-инъекции. Хотя функция намеренно поддерживает ограниченное использование HTML-кода, отсутствие санитизации делает эту инъекцию непреднамеренной и оказывает низкое влияние на целостность.

Шаги для воспроизведения

1. Перейдите на http://127.0.0.1:8080/
2. Выберите файл (на случай, если файлов нет, атакующий должен загрузить один, а затем перейти к остальным шагам)
3. Нажмите «Rename» и переименуйте файл в:

test<h1>HACKED</h1>test.txt