CVE-2025-32103

Nome do Software Vulnerável e Versões Afetadas Versões do CrushFTP 9.x até 11.3.1

Descrição A vulnerabilidade permite a travessia de diretório via URI "/WebInterface/function/" para ler arquivos acessíveis via SMB em caminhos de compartilhamento UNC, contornando as restrições do SecurityManager. Isso pode possibilitar acesso não autorizado a diretórios e arquivos arbitrários mediante o envio de uma requisição POST especialmente elaborada.

Recomendações Para as versões do CrushFTP 9.x até 10.8.4 e 11.x até 11.3.1, considere desabilitar a URI "/WebInterface/function/" como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao módulo vulnerável para minimizar o risco de exploração. Evite usar o endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.