CVE-2024-4040: presente nel catalogo CISA KEV

CVE-2024-4040 · CVSS 9.8 CRITICAL · EPSS 99.5% · KEV 2024-04-24 · patch disponibile

A server side template injection vulnerability in CrushFTP in all versions before 10.7.1 and 11.1.0 on all platforms allows unauthenticated remote attackers to read files from the filesystem outside of the VFS Sandbox, bypass authentication to gain administrative access, and perform remote code execution on the server.

CVE-2024-4040 viene sfruttato?

• Inserito nel catalogo CISA KEV il 2024-04-24.
• Scadenza di remediation federale: 2024-05-01.
• Oltre quella data da 912 giorni.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 99.5%.
• Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.
• Esistono regole di detection pubbliche.

Quali prodotti e versioni sono interessati?

• CrushFTP · CrushFTP · >= 10.0, < 10.7.1, >= 11.0, < 11.1.0

Esiste una patch?

Sì. Aggiorna a una di queste versioni o successive:

Dal record CVE di CrushFTP · Advisory di CrushFTP

Cosa ha pubblicato PlainSec su CVE-2024-4040

• CrushFTP Admin Accounts Targeted by Brute-Force Scans (2026-03-04)

Fonti primarie

• NVD record
• CISA KEV catalog
• CrushFTP advisory
• Nuclei template

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-09-02.