CVE-2026-39983
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 82 - wyżej niż 82% wszystkich znanych CVE
Streszczenie
Biblioteka basic-ftp dla Node.js przed wersją 5.2.1 jest podatna na wstrzykiwanie komend FTP poprzez sekwencje CRLF w parametrach ścieżek plików. Atakujący może wykorzystać tę podatność do wykonania dowolnych komend FTP na serwerze.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad sesją FTP przez atakującego, co może prowadzić do nieautoryzowanego dostępu, modyfikacji lub usunięcia plików na serwerze FTP.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę basic-ftp do wersji 5.2.1 lub nowszej, która zawiera poprawkę eliminującą podatność na wstrzykiwanie komend FTP.
Inne podatności w basic-ftp
Zobacz wszystkie- CVE-2026-102990Wysokie
basic-ftp przed wersją 6.2.1 zawiera podatność na atak typu ReDoS (Regular Expression Denial of Service) w funkcji Client.list(). Złośliwy lub skompromitowany serwer FTP może wymusić kwadratowy wzrost czasu procesora podczas parsowania listy katalogów, co blokuje pętlę zdarzeń Node.js i zamraża proces.
- CVE-2026-44240Wysokie
Podatność w basic-ftp przed wersją 5.3.1 umożliwia atak typu denial of service po stronie klienta podczas parsowania wieloliniowych odpowiedzi kontrolnych FTP. Złośliwy serwer FTP może wysłać nieukończoną odpowiedź, co prowadzi do nadmiernego zużycia pamięci i CPU.
Oryginalny opis (angielski, źródło NVD)
basic-ftp is an FTP client for Node.js. Prior to 5.2.1, basic-ftp allows FTP command injection via CRLF sequences (\r\n) in file path parameters passed to high-level path APIs such as cd(), remove(), rename(), uploadFrom(), downloadTo(), list(), and removeDir(). The library's protectWhitespace() helper only handles leading spaces and returns other paths unchanged, while FtpContext.send() writes the resulting command string directly to the control socket with \r\n appended. This lets attacker-controlled path strings split one intended FTP command into multiple commands. This vulnerability is fixed in 5.2.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS