CVE-2025-54309
Publiée le 2025-07-18 · Dernière modification le 2026-06-17 KEV — activement exploitée
Les serveurs CrushFTP (versions 10 antérieures à 10.8.5 et 11 antérieures à 11.3.4_23) sont concernés si la fonctionnalité de proxy DMZ est désactivée. Un attaquant distant peut obtenir un accès administratif complet au système via HTTPS en exploitant une faille dans la gestion de la validation AS2. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur, bien qu'elle soit techniquement complexe à exécuter.
ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)
CrushFTP Unprotected Alternate Channel Vulnerability — CrushFTP contains an unprotected alternate channel vulnerability. When the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS. Ajoutée au catalogue KEV de la CISA le 2025-07-22. Date limite de correction (agences fédérales américaines) : 2025-08-12.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
CrushFTP 10 before 10.8.5 and 11 before 11.3.4_23, when the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS, as exploited in the wild in July 2025.