CVE-2026-105420
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wing FTP Server nie weryfikuje katalogu bazowego użytkownika, co pozwala atakującemu z uprawnieniami administratora dodawać katalogi użytkowników poprzez skrypty wykraczające poza katalog bazowy. Umożliwia to zapis plików w systemie i potencjalne zdalne wykonanie kodu z uprawnieniami właściciela procesu, a przy instalacji przez sudo pliki tworzone są jako root. Problem naprawiono w wersji 8.2.6.
Ocena ryzyka
Atakujący z uprawnieniami administratora może zapisywać pliki poza dozwolonym katalogiem, co może prowadzić do zdalnego wykonania kodu, w tym z uprawnieniami root. Krytyczne ryzyko dla serwerów FTP z instalacją uruchamianą przez sudo.
Rekomendacja
Zaktualizuj Wing FTP Server do wersji 8.2.6 lub nowszej i unikaj uruchamiania usługi z uprawnieniami root.
Inne podatności w Wing FTP Server
Zobacz wszystkie- CVE-2026-120491Średnie
Wing FTP Server przed wersją 8.2.6 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom klienta webowego wstrzyknąć skrypt poprzez spreparowany parametr nowpath do webclient/makethumb.html. Atakujący mogą wyłamać się z sekcji CDATA katalogu w XML admin_get_lastconn.html, aby sfałszować identyfikator połączenia, który wykonuje się w przeglądarkach administratorów.
- CVE-2026-44403Wysokie
Wing FTP Server przed wersją 8.1.3 zawiera podatność na zdalne wykonanie kodu, która występuje w mechanizmie serializacji sesji. Umożliwia to uwierzytelnionym administratorom wstrzykiwanie dowolnego kodu Lua poprzez pole mydirectory w panelu administracyjnym.
- CVE-2025-47813ŚrednieAktywnie exploitowane
Plik loginok.html w Wing FTP Server przed wersją 7.4.4 ujawnia pełną lokalną ścieżkę instalacji aplikacji, gdy w ciasteczku UID użyta zostanie długa wartość.
- CVE-2025-47812KrytyczneAktywnie exploitowane
W Wing FTP Server przed wersją 7.4.4 interfejsy webowe użytkownika i administratora nieprawidłowo obsługują bajty '\0', co pozwala na wstrzyknięcie dowolnego kodu Lua do plików sesji użytkownika. Można to wykorzystać do wykonania dowolnych poleceń systemowych z uprawnieniami usługi FTP (domyślnie root lub SYSTEM). Jest to zdalne wykonanie kodu gwarantujące całkowite przejęcie serwera. Luka jest również wykorzystywalna przez anonimowe konta FTP.
Oryginalny opis (angielski, źródło NVD)
Wing FTP Server does not verify user's base folder. An attacker with admin privileges can add user directories via scripts, allowing the added directories to escape the base folder. This allows the attacker to write files on the system and can lead to remote code execution with process owner privileges.Critically, since the installation guide mentions running the command with `sudo`, the files are created as “root.” This issue was fixed in version 8.2.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS