CVE-2025-63420

在 11.3.7_57 之前的 CrushFTP11 中，CrushFTP 管理面板（报告 / “Who Created Folder”）存在存储型 HTML 注入漏洞，可在管理会话中持久执行 HTML。

CWE

CWE-79 — 网页生成过程中输入的不当中和（跨站脚本）

CVSS v3.1 基础评分：4.1（中危）

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

已在以下版本中修复

如供应商变更日志（ https://crushftp.com/version11_build.html ）所述，11.3.7_57 及更高版本不受影响。

_57:登录 URL 修复和会话踢出修复，以及针对报告的轻微 HTMLi：CVE-2025-63420

摘要

CrushFTP 管理面板（报告 / “Who Created Folder”）中的存储型 HTMLi 漏洞允许具有创建文件夹权限的已认证攻击者注入恶意 HTML 代码。

复现步骤

1. 导航到 http://127.0.0.1:8080/
2. 使用以下载荷创建新文件夹：

<h1>HACKED</h1>test

3. 导航到 http://127.0.0.1:8080/WebInterface/admin/index.html，点击“Reports”并选择“Who Created Folder”：
4. 点击“Run Report”
5. 等待报告加载，加载完成后向下滚动并观察 HTMLi：
6. 由于某些界面原因，你可能需要使用相同的载荷创建 2 个文件夹才能显示 HTMLi。

致谢

Muntadhar M. Ahmed (almuntadhar0x01)