CVE-2024-4040
CriticalSummary
Wszystkie wersje CrushFTP przed 10.7.1 i 11.1.0 zawierają podatność na wstrzykiwanie szablonów po stronie serwera, która pozwala nieautoryzowanym atakującym zdalnym na odczyt plików z systemu plików poza piaskownicą VFS, obejście uwierzytelnienia w celu uzyskania dostępu administracyjnego oraz wykonanie zdalnego kodu na serwerze.
Risk Assessment
Podatność ta stwarza poważne zagrożenie dla bezpieczeństwa organizacji, umożliwiając atakującym uzyskanie pełnej kontroli nad serwerem oraz dostęp do wrażliwych danych.
Recommendation
Zaleca się aktualizację CrushFTP do wersji 10.7.1 lub 11.1.0, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa systemu.
Original NVD description (English source)
A server side template injection vulnerability in CrushFTP in all versions before 10.7.1 and 11.1.0 on all platforms allows unauthenticated remote attackers to read files from the filesystem outside of the VFS Sandbox, bypass authentication to gain administrative access, and perform remote code execution on the server.