CVE-2025-63419

CrushFTP 11.3.7_60 之前的版本易受 HTML 注入攻击。该基于 Web 的服务器具有一项允许用户共享文件的功能，该功能会将文件名反射到电子邮件正文字段中，且未进行任何净化处理，从而导致 HTML 注入。

CWE

CWE-79 — 网页生成期间输入的不当中和（跨站脚本）

CVSS v3.1 基础评分：3.5（低）

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N

摘要

CrushFTP 基于 Web 的服务器具有一项允许用户共享文件的功能，该功能会将文件名反射到电子邮件正文字段中，且未进行任何净化处理，从而导致 HTMLi。虽然该功能有意支持有限的 HTML 代码使用，但缺乏净化处理使得此注入成为非预期行为，并造成较低的完整性影响。

复现步骤

1. 访问 http://127.0.0.1:8080/
2. 选择一个文件（以防没有任何文件，攻击者必须先上传一个文件，然后继续执行其余步骤）
3. 点击“重命名”，将文件重命名为：

test<h1>HACKED</h1>test.txt

4. 选择该文件
5. 点击“共享”，并观察非预期的 HTMLi：

致谢

Muntadhar Ahmed