CVE-2025-63420

CrushFTP11 до версии 11.3.7_57 уязвим для инъекции сохраненного HTML в панели администратора CrushFTP (Reports / "Who Created Folder"), что позволяет выполнять постоянный HTML-код в сессиях администратора.

CWE

CWE-79 — Неправильная нейтрализация ввода при генерации веб-страницы (Межсайтовый скриптинг)

CVSS v3.1 Базовый счет: 4.1 (Средний)

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

Исправлено в

Как указано в журнале изменений вендора ( https://crushftp.com/version11_build.html ), версии 11.3.7_57 и выше не подвержены уязвимости.

_57: исправление URL входа и исправление завершения сессии, а также незначительная HTMLi для отчетов: CVE-2025-63420

Краткое описание

Уязвимость сохраненной HTMLi в панели администратора CrushFTP (Reports / 'Who Created Folder') позволяет аутентифицированным злоумышленникам с правами на создание папок внедрять вредоносный HTML-код.

Шаги для воспроизведения

1. Перейдите по адресу http://127.0.0.1:8080/
2. Создайте новую папку со следующим payload:

<h1>HACKED</h1>test

3. Перейдите по адресу http://127.0.0.1:8080/WebInterface/admin/index.html, нажмите «Reports» и выберите «Who Created Folder»:
4. Нажмите «Run Report»
5. Дождитесь загрузки отчета; после загрузки прокрутите вниз и обратите внимание на HTMLi:
6. Из-за особенностей интерфейса, возможно, потребуется создать две папки с одинаковым payload, чтобы HTMLi отобразилась.

Автор

Muntadhar M. Ahmed (almuntadhar0x01)