Aktywnie wykorzystywana w atakach

Wing FTP Server Information Disclosure Vulnerability

Wing FTP Server - Wing FTP Server · Figuruje w katalogu CISA KEV od 2026-03-16. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2025-47813

ŚrednieCVSS 4.3KEV

Opublikowano: 10/07/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Plik loginok.html w Wing FTP Server przed wersją 7.4.4 ujawnia pełną lokalną ścieżkę instalacji aplikacji, gdy w ciasteczku UID użyta zostanie długa wartość.

Ocena ryzyka

Ujawnienie ścieżki instalacji może ułatwić atakującemu planowanie dalszych ataków, np. wykorzystanie podatności związanych ze ścieżkami plików.

Rekomendacja

Zaktualizuj Wing FTP Server do wersji 7.4.4 lub nowszej.

Inne podatności w Wing FTP Server

CVE-2026-44403Wysokie
Wing FTP Server przed wersją 8.1.3 zawiera podatność na zdalne wykonanie kodu, która występuje w mechanizmie serializacji sesji. Umożliwia to uwierzytelnionym administratorom wstrzykiwanie dowolnego kodu Lua poprzez pole mydirectory w panelu administracyjnym.

Oryginalny opis (angielski, źródło NVD)

loginok.html in Wing FTP Server before 7.4.4 discloses the full local installation path of the application when using a long value in the UID cookie.