Aktywnie wykorzystywana w atakach
Wing FTP Server Information Disclosure Vulnerability
Wing FTP Server - Wing FTP Server · Figuruje w katalogu CISA KEV od 2026-03-16. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-47813
ŚrednieCVSS 4.3KEVStreszczenie
Plik loginok.html w Wing FTP Server przed wersją 7.4.4 ujawnia pełną lokalną ścieżkę instalacji aplikacji, gdy w ciasteczku UID użyta zostanie długa wartość.
Ocena ryzyka
Ujawnienie ścieżki instalacji może ułatwić atakującemu planowanie dalszych ataków, np. wykorzystanie podatności związanych ze ścieżkami plików.
Rekomendacja
Zaktualizuj Wing FTP Server do wersji 7.4.4 lub nowszej.
Inne podatności w Wing FTP Server
Zobacz wszystkie- CVE-2026-120491Średnie
Wing FTP Server przed wersją 8.2.6 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom klienta webowego wstrzyknąć skrypt poprzez spreparowany parametr nowpath do webclient/makethumb.html. Atakujący mogą wyłamać się z sekcji CDATA katalogu w XML admin_get_lastconn.html, aby sfałszować identyfikator połączenia, który wykonuje się w przeglądarkach administratorów.
- CVE-2026-44403Wysokie
Wing FTP Server przed wersją 8.1.3 zawiera podatność na zdalne wykonanie kodu, która występuje w mechanizmie serializacji sesji. Umożliwia to uwierzytelnionym administratorom wstrzykiwanie dowolnego kodu Lua poprzez pole mydirectory w panelu administracyjnym.
- CVE-2026-105420Krytyczne
Wing FTP Server nie weryfikuje katalogu bazowego użytkownika, co pozwala atakującemu z uprawnieniami administratora dodawać katalogi użytkowników poprzez skrypty wykraczające poza katalog bazowy. Umożliwia to zapis plików w systemie i potencjalne zdalne wykonanie kodu z uprawnieniami właściciela procesu, a przy instalacji przez sudo pliki tworzone są jako root. Problem naprawiono w wersji 8.2.6.
- CVE-2025-47812KrytyczneAktywnie exploitowane
W Wing FTP Server przed wersją 7.4.4 interfejsy webowe użytkownika i administratora nieprawidłowo obsługują bajty '\0', co pozwala na wstrzyknięcie dowolnego kodu Lua do plików sesji użytkownika. Można to wykorzystać do wykonania dowolnych poleceń systemowych z uprawnieniami usługi FTP (domyślnie root lub SYSTEM). Jest to zdalne wykonanie kodu gwarantujące całkowite przejęcie serwera. Luka jest również wykorzystywalna przez anonimowe konta FTP.
Oryginalny opis (angielski, źródło NVD)
loginok.html in Wing FTP Server before 7.4.4 discloses the full local installation path of the application when using a long value in the UID cookie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS