← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités CrushFTP activement exploitées (KEV)

Les 3 vulnérabilités CrushFTP dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 1 utilisée par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2025-54309 — CrushFTP : vulnérabilité de canal alternatif non protégé Critique

Produit : CrushFTP CrushFTP
Ajoutée au catalogue : 22 juillet 2025
Échéance CISA : 12 août 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-420
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 93 %

CrushFTP contient une vulnérabilité de canal alternatif non protégé. Lorsque la fonctionnalité de proxy DMZ n'est pas utilisée, elle gère mal la validation AS2 et permet par conséquent à des attaquants distants d'obtenir un accès administrateur via HTTPS.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · crushftp.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-31161 — CrushFTP : contournement de l'authentification Critique

Produit : CrushFTP CrushFTP
Ajoutée au catalogue : 7 avril 2025
Échéance CISA : 28 avril 2025
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-305
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : > 99,9 %

CrushFTP contient une vulnérabilité de contournement de l'authentification dans l'en-tête d'autorisation HTTP qui permet à un attaquant distant non authentifié de s'authentifier sur n'importe quel compte utilisateur connu ou devinable (par exemple, crushadmin), ce qui peut potentiellement entraîner un compromis total.

Références : NVD · CISA · crushftp.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-4040 — CrushFTP : vulnérabilité d'échappement de sandbox VFS

Produit : CrushFTP CrushFTP
Ajoutée au catalogue : 24 avril 2024
Échéance CISA : 1 mai 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-1336
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 100 %

CrushFTP contient une vulnérabilité d'échappement de sandbox non spécifiée qui permet à un attaquant distant d'échapper au système de fichiers virtuel (VFS) de CrushFTP.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · crushftp.com

← Retour au suivi KEV · télécharger tout le catalogue (CSV)