CVE-2026-90867
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Nieprawidłowa kontrola dostępu w konsoli Web Admin programu Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows może ujawnić funkcje administracyjne zdalnym próbom uwierzytelnienia.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji administracyjnych przez sieć, co grozi przejęciem kontroli nad serwerem i nieautoryzowanymi zmianami konfiguracji.
Rekomendacja
Zaktualizuj WS_FTP Server do wersji 2024.0.7 lub 2025.0.4 (lub nowszej) oraz ogranicz dostęp do konsoli Web Admin do zaufanych sieci.
Inne podatności w WS_FTP Server
Zobacz wszystkie- CVE-2023-40044KrytyczneAktywnie exploitowane
W serwerze WS_FTP Server w wersjach wcześniejszych niż 8.7.4 i 8.8.2, nieuwierzytelniony atakujący może wykorzystać podatność na deserializację .NET w module Ad Hoc Transfer do wykonania zdalnych poleceń na systemie operacyjnym serwera WS_FTP.
- CVE-2026-90869Wysokie
Zdalny atakujący, który zna ważny klucz publiczny SSH przypisany do konta, może zatrzymać współdzieloną usługę SSH w Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows.
- CVE-2026-90862Średnie
Nieprawidłowa autoryzacja w module Web Transfer w serwerze WS_FTP Server firmy Progress Software (wersje przed 2024.0.7 i 2025.0.4 na Windows) pozwala atakującemu znającemu hasło użytkownika na dostęp do określonych plików tego konta bez spełnienia wymogów uwierzytelniania wieloskładnikowego.
- CVE-2026-90861Średnie
Serwer WS_FTP Server firmy Progress Software (wersje przed 2024.0.7 i 2025.0.4 na Windows) może ujawnić hasło użytkownika w postaci jawnej innemu administratorowi, który może je wykorzystać do uzyskania szerszego dostępu administracyjnego do serwera.
- CVE-2026-84296Średnie
Luka umożliwiająca obejście uwierzytelniania wieloskładnikowego w komponencie SSH serwera WS_FTP Server firmy Progress Software (wersje przed 2024.0.6 i 2025.0.3 na Windows) pozwala uwierzytelnionym użytkownikom ominąć wymogi MFA poprzez nieprawidłowe powiązanie czynników uwierzytelniania między kontami.
- CVE-2026-84294Wysokie
Nieprawidłowe ograniczenie ścieżki w komponencie Ad Hoc Transfer programu Progress Software WS_FTP Server w wersjach przed 2024.0.6 i 2025.0.3 na Windows może pozwolić uwierzytelnionemu użytkownikowi na dostęp do plików poza zamierzonymi katalogami.
- CVE-1999-0362Średnie
Serwer WS_FTP jest podatny na zdalny atak typu denial of service (DoS) poprzez wykorzystanie komendy cwd.
Oryginalny opis (angielski, źródło NVD)
Improper access control in the Web Admin console of Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could expose administrative functionality to remote authentication attempts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS