CVE-2026-120491
ŚrednieCVSS 5.4Streszczenie
Wing FTP Server przed wersją 8.2.6 zawiera podatność typu stored cross-site scripting, która pozwala uwierzytelnionym użytkownikom klienta webowego wstrzyknąć skrypt poprzez spreparowany parametr nowpath do webclient/makethumb.html. Atakujący mogą wyłamać się z sekcji CDATA katalogu w XML admin_get_lastconn.html, aby sfałszować identyfikator połączenia, który wykonuje się w przeglądarkach administratorów.
Ocena ryzyka
Wstrzyknięty skrypt może wykonać się w sesji administratora i umożliwić nadużycie konsoli Lua. Ryzyko dotyczy instalacji Wing FTP Server z dostępem do klienta webowego.
Rekomendacja
Zaktualizuj Wing FTP Server do wersji 8.2.6 lub nowszej. Ogranicz dostęp do klienta webowego i monitoruj aktywność administracyjną.
Inne podatności w Wing FTP Server
Zobacz wszystkie- CVE-2026-44403Wysokie
Wing FTP Server przed wersją 8.1.3 zawiera podatność na zdalne wykonanie kodu, która występuje w mechanizmie serializacji sesji. Umożliwia to uwierzytelnionym administratorom wstrzykiwanie dowolnego kodu Lua poprzez pole mydirectory w panelu administracyjnym.
- CVE-2026-105420Krytyczne
Wing FTP Server nie weryfikuje katalogu bazowego użytkownika, co pozwala atakującemu z uprawnieniami administratora dodawać katalogi użytkowników poprzez skrypty wykraczające poza katalog bazowy. Umożliwia to zapis plików w systemie i potencjalne zdalne wykonanie kodu z uprawnieniami właściciela procesu, a przy instalacji przez sudo pliki tworzone są jako root. Problem naprawiono w wersji 8.2.6.
- CVE-2025-47813ŚrednieAktywnie exploitowane
Plik loginok.html w Wing FTP Server przed wersją 7.4.4 ujawnia pełną lokalną ścieżkę instalacji aplikacji, gdy w ciasteczku UID użyta zostanie długa wartość.
- CVE-2025-47812KrytyczneAktywnie exploitowane
W Wing FTP Server przed wersją 7.4.4 interfejsy webowe użytkownika i administratora nieprawidłowo obsługują bajty '\0', co pozwala na wstrzyknięcie dowolnego kodu Lua do plików sesji użytkownika. Można to wykorzystać do wykonania dowolnych poleceń systemowych z uprawnieniami usługi FTP (domyślnie root lub SYSTEM). Jest to zdalne wykonanie kodu gwarantujące całkowite przejęcie serwera. Luka jest również wykorzystywalna przez anonimowe konta FTP.
Oryginalny opis (angielski, źródło NVD)
Wing FTP Server before 8.2.6 contains a stored cross-site scripting vulnerability that allows authenticated web-client users to inject script by sending a crafted nowpath parameter to webclient/makethumb.html. Attackers can break out of the directory CDATA section in admin_get_lastconn.html XML to forge a connection id, which executes in administrators' browsers when admin_connection_list.html auto-refreshes, enabling Lua console abuse.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS