Kritische Sicherheitslücke in CrushFTP ermöglicht unautorisierte Zugriffe (CVE-2025-2825)

In den Versionen 10.0.0 bis 10.8.3 sowie 11.0.0 bis 11.3.0 der Filetransfer-Software CrushFTP wurde eine schwerwiegende Sicherheitslücke entdeckt. Die Schwachstelle erlaubt es Angreifern, über unauthentifizierte HTTP-Anfragen Zugriff auf das System zu erlangen – ohne Login.

Laut VulnCheck liegt die CVSS-Bewertung von CVE-2025-2825 bei 9.8 (kritisch). Besonders gefährdet sind Systeme, die keine DMZ-Funktion aktiviert haben. Betroffene Nutzer sollten dringend auf Version 11.3.1 oder höher aktualisieren.

Weitere Informationen und Updates stellt der Hersteller auf crushftp.com bereit.

Tags :

Related Posts

Kritische Kubernetes-Schwachstelle im Ingress NGINX Controller ermöglicht Clusterübernahme

Am 24. März 2025 wurden mehrere Schwachstellen im weit verbreiteten Ingress NGINX Controller für Kubernetes veröffentlicht – darunter die kritische Lücke CVE-2025-1974, die mit einem CVSS-Score von 9.8 bewertet wird. Insgesamt sind fünf Schwachstellen betroffen, von denen vier die Remote Code Execution (RCE) ermöglichen. Sie betreffen vor allem Installationen, bei denen der Validating Admission Controller öffentlich erreichbar ist oder auf anderem Weg kompromittiert werden kann.

Read More

Vite CVE-2025-30208: Zugriff auf beliebige Dateien durch ?raw??-Bypass

In mehreren Versionen des beliebten Build-Tools Vite wurde eine Sicherheitslücke (CVE-2025-30208) entdeckt, durch die die Zugriffsbeschränkungen des @fs-Moduls umgangen werden können. Durch Anhängen der Parameter ?raw?? oder ?import&raw?? an eine URL lassen sich beliebige Dateien außerhalb der eigentlich erlaubten Verzeichnisse im Browser anzeigen – darunter auch sensible Systemdateien.

Read More

Kritischer Auth-Bypass in Fortinet-Produkten aktiv ausgenutzt (CVE-2024-55591, CVE-2025-24472)

Fortinet warnt vor einer kritischen Sicherheitslücke in FortiOS und FortiProxy, die derzeit aktiv ausgenutzt wird. Die Schwachstellen (CVE-2024-55591 und CVE-2025-24472) ermöglichen es Angreifern, über präparierte Anfragen an das Node.js WebSocket-Modul oder manipulierte CSF-Proxy-Requests die Authentifizierung zu umgehen und Super-Admin-Rechte zu erlangen.

Read More