CVE-2025-32102

Nome do Software Vulnerável e Versões Afetadas Versões do CrushFTP 9.x até 11.3.1

Descrição A falha permite a realização de Falsificação de Solicitação no Lado do Servidor (SSRF) através dos parâmetros host e port em uma requisição command=telnetSocket para a URI "/WebInterface/function/". Esta vulnerabilidade pode ser explorada para acessar potencialmente recursos internos.

Recomendações Para as versões do CrushFTP 9.x até 11.3.1, como medida paliativa temporária, considere desabilitar a função command=telnetSocket até que um patch esteja disponível. Restrinja o acesso à URI /WebInterface/function/ para minimizar o risco de exploração. Evite utilizar os parâmetros host e port no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.