CVE-2026-105420
KrytyczneCVSS 9.4Streszczenie
Wing FTP Server nie weryfikuje katalogu bazowego użytkownika, co pozwala atakującemu z uprawnieniami administratora dodawać katalogi użytkowników poprzez skrypty wykraczające poza katalog bazowy. Umożliwia to zapis plików w systemie i potencjalne zdalne wykonanie kodu z uprawnieniami właściciela procesu, a przy instalacji przez sudo pliki tworzone są jako root. Problem naprawiono w wersji 8.2.6.
Ocena ryzyka
Atakujący z uprawnieniami administratora może zapisywać pliki poza dozwolonym katalogiem, co może prowadzić do zdalnego wykonania kodu, w tym z uprawnieniami root. Krytyczne ryzyko dla serwerów FTP z instalacją uruchamianą przez sudo.
Rekomendacja
Zaktualizuj Wing FTP Server do wersji 8.2.6 lub nowszej i unikaj uruchamiania usługi z uprawnieniami root.
Inne podatności w Wing FTP Server
Zobacz wszystkie- CVE-2026-44403Wysokie
Wing FTP Server przed wersją 8.1.3 zawiera podatność na zdalne wykonanie kodu, która występuje w mechanizmie serializacji sesji. Umożliwia to uwierzytelnionym administratorom wstrzykiwanie dowolnego kodu Lua poprzez pole mydirectory w panelu administracyjnym.
- CVE-2025-47813ŚrednieAktywnie exploitowane
Plik loginok.html w Wing FTP Server przed wersją 7.4.4 ujawnia pełną lokalną ścieżkę instalacji aplikacji, gdy w ciasteczku UID użyta zostanie długa wartość.
- CVE-2025-47812KrytyczneAktywnie exploitowane
W Wing FTP Server przed wersją 7.4.4 interfejsy webowe użytkownika i administratora nieprawidłowo obsługują bajty '\0', co pozwala na wstrzyknięcie dowolnego kodu Lua do plików sesji użytkownika. Można to wykorzystać do wykonania dowolnych poleceń systemowych z uprawnieniami usługi FTP (domyślnie root lub SYSTEM). Jest to zdalne wykonanie kodu gwarantujące całkowite przejęcie serwera. Luka jest również wykorzystywalna przez anonimowe konta FTP.
Oryginalny opis (angielski, źródło NVD)
Wing FTP Server does not verify user's base folder. An attacker with admin privileges can add user directories via scripts, allowing the added directories to escape the base folder. This allows the attacker to write files on the system and can lead to remote code execution with process owner privileges.Critically, since the installation guide mentions running the command with `sudo`, the files are created as “root.” This issue was fixed in version 8.2.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS