Aktywnie wykorzystywana w atakach
Wing FTP Server Improper Neutralization of Null Byte or NUL Character Vulnerability
Wing FTP Server - Wing FTP Server · Figuruje w katalogu CISA KEV od 2025-07-14. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-47812
KrytyczneCVSS 10.0KEVStreszczenie
W Wing FTP Server przed wersją 7.4.4 interfejsy webowe użytkownika i administratora nieprawidłowo obsługują bajty '\0', co pozwala na wstrzyknięcie dowolnego kodu Lua do plików sesji użytkownika. Można to wykorzystać do wykonania dowolnych poleceń systemowych z uprawnieniami usługi FTP (domyślnie root lub SYSTEM). Jest to zdalne wykonanie kodu gwarantujące całkowite przejęcie serwera. Luka jest również wykorzystywalna przez anonimowe konta FTP.
Ocena ryzyka
Atakujący może całkowicie przejąć serwer FTP, co może prowadzić do kradzieży danych, modyfikacji plików i przerwania działania usług.
Rekomendacja
Zaleca się natychmiastową aktualizację Wing FTP Server do wersji 7.4.4 lub nowszej oraz wyłączenie anonimowych kont FTP, jeśli nie są wymagane.
Inne podatności w Wing FTP Server
Zobacz wszystkie- CVE-2026-44403Wysokie
Wing FTP Server przed wersją 8.1.3 zawiera podatność na zdalne wykonanie kodu, która występuje w mechanizmie serializacji sesji. Umożliwia to uwierzytelnionym administratorom wstrzykiwanie dowolnego kodu Lua poprzez pole mydirectory w panelu administracyjnym.
- CVE-2025-47813ŚrednieAktywnie exploitowane
Plik loginok.html w Wing FTP Server przed wersją 7.4.4 ujawnia pełną lokalną ścieżkę instalacji aplikacji, gdy w ciasteczku UID użyta zostanie długa wartość.
Oryginalny opis (angielski, źródło NVD)
In Wing FTP Server before 7.4.4. the user and admin web interfaces mishandle '\0' bytes, ultimately allowing injection of arbitrary Lua code into user session files. This can be used to execute arbitrary system commands with the privileges of the FTP service (root or SYSTEM by default). This is thus a remote code execution vulnerability that guarantees a total server compromise. This is also exploitable via anonymous FTP accounts.