CVE-2026-40400

Nome do Software Vulnerável e Versões Afetadas CrushFTP Enterprise Managed File Transfer versões anteriores a 11.1.0

Description Uma falha de execução remota de código não autenticada existe devido a uma Injeção de Template no Lado do Servidor (SSTI) na interface de gerenciamento baseada na web. SSTI é uma vulnerabilidade onde uma aplicação não sanitiza adequadamente a entrada do usuário usada em um mecanismo de template, permitindo a execução de código arbitrário. O problema ocorre quando o servidor trata certos parâmetros de URL controlados pelo usuário como expressões de template executáveis, permitindo que um invasor referencie objetos de sistema de nível Java, como java.lang.Runtime, para executar comandos do sistema. Isso permite que o invasor ignore o sandbox do Virtual File System (VFS)—um mecanismo de segurança destinado a restringir usuários a diretórios específicos—e obtenha a capacidade de ler, modificar ou excluir qualquer arquivo no sistema operacional hospedeiro. Aproximadamente 2.700 instâncias expostas em todo o mundo estão potencialmente afetadas, incluindo ativos críticos de governos, bancos e saúde. A exploração no mundo real foi observada envolvendo o uso de kits de exploração automatizados para exfiltrar credenciais de banco de dados e chaves de API internas.

Recommendations Atualize o CrushFTP Enterprise Managed File Transfer para a versão 11.1.0 ou 10.7.1 ou superior. Restrinja o acesso à interface de gerenciamento web apenas a intervalos de IP confiáveis. Desative o gerenciamento baseado na web através da internet pública e utilize uma VPN ou acesso via console local.