CVE-2024-4040

Analyse en français

Injection de template côté serveur dans CrushFTP, affectant toutes les versions antérieures à 10.7.1 et 11.1.0 sur toutes les plateformes. Un attaquant distant non authentifié peut lire des fichiers hors du sandbox VFS, contourner l'authentification, obtenir un accès administratif et exécuter du code à distance.

Impact

Un attaquant non authentifié peut accéder à des fichiers sensibles, prendre le contrôle administratif et exécuter du code sur le serveur. La vulnérabilité est activement exploitée selon le CISA KEV.

Que faire ?

Mettre à jour CrushFTP vers la version 10.7.1 ou 11.1.0, ou une version ultérieure corrigée. En l'absence de correctif, appliquer les mesures d'atténuation du fournisseur ou cesser l'utilisation du produit. Surveiller les journaux et indicateurs d'exploitation.

Analyse générée par IA le 02/11/2026 : vérifiez l'avis officiel de l'éditeur.

Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 24/04/2024, correctif exigé avant le 01/05/2024 pour les agences fédérales américaines.

Action requise : Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Description officielle (NVD)

A server side template injection vulnerability in CrushFTP in all versions before 10.7.1 and 11.1.0 on all platforms allows unauthenticated remote attackers to read files from the filesystem outside of the VFS Sandbox, bypass authentication to gain administrative access, and perform remote code execution on the server.

Preuves de concept publiques (19)

Dépôts tiers non vérifiés, parfois piégés. Ne les exécutez jamais en production : uniquement dans un environnement de test isolé.

• Stuub/CVE-2024-4040-SSTI-LFI-PoC · ★ 66 · 25/04/2024
  CVE-2024-4040 CrushFTP SSTI LFI & Auth Bypass | Full Server Takeover | Wordlist Support
• airbus-cert/CVE-2024-4040 · ★ 56 · 23/04/2024
  Scanner for CVE-2024-4040
• rbih-boulanouar/CVE-2024-4040 · ★ 15 · 25/04/2024
• geniuszly/GenCrushSSTIExploit · ★ 8 · 30/09/2024
  is a PoC for CVE-2024-4040 tool for exploiting the SSTI vulnerability in CrushFTP
• gotr00t0day/CVE-2024-4040 · ★ 7 · 03/05/2024
  A server side template injection vulnerability in CrushFTP in all versions before 10.7.1 and 11.1.0 on all platforms allows unauthenticated remote attackers to read files from the filesystem outside o
• dhammerg/CVE-2024-4040 · ★ 5 · 30/04/2024
  Exploit CrushFTP CVE-2024-4040
• jakabakos/CVE-2024-4040-CrushFTP-File-Read-vulnerability · ★ 5 · 01/05/2024
• entroychang/CVE-2024-4040 · ★ 3 · 05/07/2024
  CVE-2024-4040 PoC
• Mufti22/CVE-2024-4040 · ★ 0 · 25/04/2024
  A server side template injection vulnerability in CrushFTP in all versions before 10.7.1 and 11.1.0 on all platforms allows unauthenticated remote attackers to read files from the filesystem outside o
• 0xN7y/CVE-2024-4040 · ★ 0 · 28/04/2024
  exploit for CVE-2024-4040

Les 10 dépôts les plus suivis sont affichés.

Références

• https://github.com/airbus-cert/CVE-2024-4040 , Exploit, Third Party Advisory
• https://www.bleepingcomputer.com/news/security/crushftp-warns-users-to-patch-exploited-zero-day-immediately/ , Press/Media Coverage, Third Party Advisory
• https://www.crushftp.com/crush10wiki/Wiki.jsp?page=Update , Patch, Vendor Advisory
• https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update , Patch, Vendor Advisory
• https://www.rapid7.com/blog/post/2024/04/23/etr-unauthenticated-crushftp-zero-day-enables-complete-server-comp... , Third Party Advisory
• https://www.reddit.com/r/crowdstrike/comments/1c88788/situational_awareness_20240419_crushftp_virtual/ , Exploit, Issue Tracking
• https://www.reddit.com/r/cybersecurity/comments/1c850i2/all_versions_of_crush_ftp_are_vulnerable/ , Issue Tracking, Patch
• https://github.com/airbus-cert/CVE-2024-4040 , Exploit, Third Party Advisory
• https://www.bleepingcomputer.com/news/security/crushftp-warns-users-to-patch-exploited-zero-day-immediately/ , Press/Media Coverage, Third Party Advisory
• https://www.crushftp.com/crush10wiki/Wiki.jsp?page=Update , Patch, Vendor Advisory
• https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update , Patch, Vendor Advisory
• https://www.rapid7.com/blog/post/2024/04/23/etr-unauthenticated-crushftp-zero-day-enables-complete-server-comp... , Third Party Advisory
• https://www.reddit.com/r/crowdstrike/comments/1c88788/situational_awareness_20240419_crushftp_virtual/ , Exploit, Issue Tracking
• https://www.reddit.com/r/cybersecurity/comments/1c850i2/all_versions_of_crush_ftp_are_vulnerable/ , Issue Tracking, Patch
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-4040 , US Government Resource

En bref

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

EPSS : probabilité estimée d'exploitation dans les 30 prochains jours.

Produits concernés

Sources officielles

Besoin d'aide ?

Nos experts évaluent votre exposition et vous accompagnent dans la correction.