脆弱性（OSS以外のものも含む）に関するトピックを集めています。最新の情報でディストリビューション側で対応できていないものも、こちらには載せています。適宜更新していきます。
脆弱性情報に関してはこちら（外部サイト）もご参照下さい
2025/04/03
CrushFTPの認証バイパス脆弱性(CVE-2025-2825)
- CrushFTPのブログより
- CrushFTPの認証バイパス脆弱性が公開されており、PoCも公開されています。
- CVE-2025-2825
- CVSS
- Base Score: 9.8 Critical
- Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CrushFTP 10.0.0〜10.8.3/11.0.0〜11.3.0 は、S3認証ヘッダー処理に問題があり、認証バイパスが可能になります。リモートかつ認証されていないCrushFTPへのHTTPリクエストで既知のユーザー名を使用した場合、そのユーザーになりすまして管理アクションやデータ取得などのアクションを実行できます。
- CVSS
