CVE-2025-54309 in CrushFTP

Riassunto

di VulDB • 06/08/2026

CrushFTP versione 10 precedente alla 10.8.5 e versione 11 precedente alla 11.3.4_23, quando la funzionalità DMZ proxy non è utilizzata, gestisce erroneamente la validazione AS2 consentendo di conseguenza agli attaccanti remoti di ottenere l'accesso amministrativo tramite HTTPS, come sfruttato in contesti reali nel luglio 2025.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• Responsabile: MITRE
• Prenotare: 18/07/2025
• Divulgazione: 18/07/2025
• Moderazione: accettato
• Voce: VDB-316927
• CPE: pronto
• CWE: CWE-420 (confermato)
• CVSS: 9.8 (NVD)
• EPSS: 0.92034
• KEV: si
• Attività: molto basso

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-54309
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-54309
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-54309/