PT-2025-45509 · Crushftp · Crushftp

CVE-2025-63420 · Publicado 2025-11-07 · Atualizado 2026-02-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.1

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas CrushFTP versão 11.3.7 50

Descrição Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado no Painel Administrativo do CrushFTP, especificamente na seção Relatórios / 'Who Created Folder'. Atacantes autenticados que possuem permissões de criação de pastas podem injetar código HTML ou JavaScript malicioso. A vulnerabilidade permite a execução de código arbitrário no contexto dos navegadores de outros usuários.

Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como solução temporária, restrinja as permissões de criação de pastas apenas para usuários confiáveis.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-63420

Produtos afetados

Crushftp

Referências · 10

• 🔥 https://gist.github.com/MMAKINGDOM/791d264c27656f0a4aa3c0ae35075e70 · Exploit
• 🔥 https://github.com/MMAKINGDOM/CVE-2025-63420 · Exploit
• https://osv.dev/vulnerability/CVE-2025-63420 · Aviso do Fabricante
• https://t.me/cveNotify/142351 · Publicação no Telegram
• https://t.me/cveNotify/151003 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1986908364559818765 · Publicação no Twitter
• https://twitter.com/AnonOzzyDude/status/1988019214851207238 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-63420 · Nota de Segurança
• https://t.me/CVEtracker/36816 · Publicação no Telegram
• https://twitter.com/muntadharma/status/1987010826721497320 · Publicação no Twitter