CVE-2026-90861
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Serwer WS_FTP Server firmy Progress Software (wersje przed 2024.0.7 i 2025.0.4 na Windows) może ujawnić hasło użytkownika w postaci jawnej innemu administratorowi, który może je wykorzystać do uzyskania szerszego dostępu administracyjnego do serwera.
Ocena ryzyka
Ujawnienie hasła w postaci jawnej może umożliwić administratorowi o ograniczonych uprawnieniach eskalację do pełnej kontroli administracyjnej nad serwerem.
Rekomendacja
Zaktualizuj WS_FTP Server do wersji 2024.0.7 lub 2025.0.4 (lub nowszej) oraz zmień hasła kont, które mogły zostać ujawnione.
Inne podatności w WS_FTP Server
Zobacz wszystkie- CVE-2023-40044KrytyczneAktywnie exploitowane
W serwerze WS_FTP Server w wersjach wcześniejszych niż 8.7.4 i 8.8.2, nieuwierzytelniony atakujący może wykorzystać podatność na deserializację .NET w module Ad Hoc Transfer do wykonania zdalnych poleceń na systemie operacyjnym serwera WS_FTP.
- CVE-2026-90869Wysokie
Zdalny atakujący, który zna ważny klucz publiczny SSH przypisany do konta, może zatrzymać współdzieloną usługę SSH w Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows.
- CVE-2026-90867Wysokie
Nieprawidłowa kontrola dostępu w konsoli Web Admin programu Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows może ujawnić funkcje administracyjne zdalnym próbom uwierzytelnienia.
- CVE-2026-90862Średnie
Nieprawidłowa autoryzacja w module Web Transfer w serwerze WS_FTP Server firmy Progress Software (wersje przed 2024.0.7 i 2025.0.4 na Windows) pozwala atakującemu znającemu hasło użytkownika na dostęp do określonych plików tego konta bez spełnienia wymogów uwierzytelniania wieloskładnikowego.
- CVE-2026-84296Średnie
Luka umożliwiająca obejście uwierzytelniania wieloskładnikowego w komponencie SSH serwera WS_FTP Server firmy Progress Software (wersje przed 2024.0.6 i 2025.0.3 na Windows) pozwala uwierzytelnionym użytkownikom ominąć wymogi MFA poprzez nieprawidłowe powiązanie czynników uwierzytelniania między kontami.
- CVE-2026-84294Wysokie
Nieprawidłowe ograniczenie ścieżki w komponencie Ad Hoc Transfer programu Progress Software WS_FTP Server w wersjach przed 2024.0.6 i 2025.0.3 na Windows może pozwolić uwierzytelnionemu użytkownikowi na dostęp do plików poza zamierzonymi katalogami.
- CVE-1999-0362Średnie
Serwer WS_FTP jest podatny na zdalny atak typu denial of service (DoS) poprzez wykorzystanie komendy cwd.
Oryginalny opis (angielski, źródło NVD)
Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows may expose a user's password in clear text to another administrator, who could use it to gain broader administrative access to the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS