CVE-2025-63420

CrushFTP11 11.3.7_57 之前版本存在存储型 HTML 注入漏洞，位于 CrushFTP 管理面板（报表 / "Who Created Folder"），可在管理员会话中实现持久化 HTML 执行。

CWE

CWE-79 — 输入在网页生成过程中未正确中和（跨站脚本）

CVSS v3.1 基础分：4.1（中危）

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

已修复版本

根据厂商变更日志（ https://crushftp.com/version11_build.html ），11.3.7_57 及更高版本不受影响。

_57:登录 URL 修复和会话踢出修复，以及一个报表的轻微 HTMLi：CVE-2025-63420

摘要

CrushFTP 管理面板（报表 / 'Who Created Folder'）中存在一个存储型 HTMLi 漏洞，允许具有创建文件夹权限的已认证攻击者注入恶意 HTML 代码。

复现步骤

1. 访问 http://127.0.0.1:8080/
2. 使用以下 payload 创建一个新文件夹：

<h1>HACKED</h1>test

3. 访问 http://127.0.0.1:8080/WebInterface/admin/index.html，点击 "Reports" 并选择 "Who Created Folder"：
4. 点击 "Run Report"
5. 等待报表加载，加载完成后向下滚动并观察 HTMLi：
6. 由于某些 UI 原因，你可能需要在同一个 payload 中创建两个文件夹才能使 HTMLi 显示。