CVE-2025-63419
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W CrushFTP 11.3.6_48 występuje podatność Cross Site Scripting (XSS). Funkcja udostępniania plików odzwierciedla nazwę pliku w polu treści e-mail bez sanityzacji, co prowadzi do wstrzyknięcia HTML.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy HTML/JavaScript do wiadomości e-mail generowanej przez serwer, co może prowadzić do phishingu lub wykonania skryptu u odbiorcy.
Rekomendacja
Zaktualizować CrushFTP do wersji bez podatności oraz wdrożyć kodowanie/sanityzację nazw plików przed umieszczeniem ich w treści e-mail.
Inne podatności w CrushFTP
Zobacz wszystkie- CVE-2025-54309KrytyczneAktywnie exploitowane
CrushFTP 10 przed wersją 10.8.5 oraz 11 przed wersją 11.3.4_23, gdy funkcja proxy DMZ nie jest używana, nieprawidłowo obsługuje walidację AS2, co pozwala zdalnym atakującym uzyskać dostęp administracyjny przez HTTPS. Luka była wykorzystywana w środowisku naturalnym w lipcu 2025 roku.
- CVE-2025-31161KrytyczneAktywnie exploitowane
CrushFTP 10 przed 10.8.4 i 11 przed 11.3.1 umożliwia obejście uwierzytelniania i przejęcie konta crushadmin (chyba że używana jest instancja DMZ proxy), co było wykorzystywane w środowisku naturalnym w marcu i kwietniu 2025. Podatność wynika z wyścigu w metodzie autoryzacji AWS4-HMAC (zgodnej z S3) w komponencie HTTP serwera FTP. Serwer najpierw weryfikuje istnienie użytkownika przez wywołanie login_user_pass() bez wymogu hasła, co uwierzytelnia sesję przez proces weryfikacji HMAC. Dodatkowo, wysyłając zniekształcony nagłówek AWS4-HMAC, można ustabilizować atak, eliminując potrzebę wygrania wyścigu, co prowadzi do błędu poza zakresem i zatrzymania kodu przed sprzątaniem sesji.
- CVE-2017-14035Krytyczne
CrushFTP w wersjach 8.x przed 8.2.0 zawiera podatność na serializację.
- CVE-2015-20129Wysokie
CrushFTP przed wersją 7.3.0 zawiera podatność na cross-site request forgery (CSRF), która pozwala atakującym na wykonywanie działań administracyjnych, ponieważ ochrona CSRF jest domyślnie wyłączona. Atakujący mogą zwabić uwierzytelnionego administratora na złośliwą stronę, która wysyła żądania POST do poleceń takich jak setUserItem, tworząc użytkowników z dostępem root lub zmieniając konfigurację serwera.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting (XSS) vulnerability in CrushFTP 11.3.6_48. The Web-Based Server has a feature where users can share files, the feature reflects the filename to an emailbody field with no sanitations leading to HTML Injection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS