Podatności Wing FTP Server
5 znanych podatności CVE w Wing FTP Server, przetłumaczonych i ocenionych.
- CVE-2026-120491Średnie
Wing FTP Server przed wersją 8.2.6 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom klienta webowego wstrzyknąć skrypt poprzez spreparowany parametr nowpath do webclient/makethumb.html. Atakujący mogą wyłamać się z sekcji CDATA katalogu w XML admin_get_lastconn.html, aby sfałszować identyfikator połączenia, który wykonuje się w przeglądarkach administratorów.
- CVE-2026-44403Wysokie
Wing FTP Server przed wersją 8.1.3 zawiera podatność na zdalne wykonanie kodu, która występuje w mechanizmie serializacji sesji. Umożliwia to uwierzytelnionym administratorom wstrzykiwanie dowolnego kodu Lua poprzez pole mydirectory w panelu administracyjnym.
- CVE-2026-105420Krytyczne
Wing FTP Server nie weryfikuje katalogu bazowego użytkownika, co pozwala atakującemu z uprawnieniami administratora dodawać katalogi użytkowników poprzez skrypty wykraczające poza katalog bazowy. Umożliwia to zapis plików w systemie i potencjalne zdalne wykonanie kodu z uprawnieniami właściciela procesu, a przy instalacji przez sudo pliki tworzone są jako root. Problem naprawiono w wersji 8.2.6.
- CVE-2025-47813ŚrednieAktywnie exploitowane
Plik loginok.html w Wing FTP Server przed wersją 7.4.4 ujawnia pełną lokalną ścieżkę instalacji aplikacji, gdy w ciasteczku UID użyta zostanie długa wartość.
- CVE-2025-47812KrytyczneAktywnie exploitowane
W Wing FTP Server przed wersją 7.4.4 interfejsy webowe użytkownika i administratora nieprawidłowo obsługują bajty '\0', co pozwala na wstrzyknięcie dowolnego kodu Lua do plików sesji użytkownika. Można to wykorzystać do wykonania dowolnych poleceń systemowych z uprawnieniami usługi FTP (domyślnie root lub SYSTEM). Jest to zdalne wykonanie kodu gwarantujące całkowite przejęcie serwera. Luka jest również wykorzystywalna przez anonimowe konta FTP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS