CVE-2026-16599

GNU wget w wersjach przed 1.18 umożliwia zdalnym serwerom zapis do dowolnych plików poprzez przekierowanie żądania z HTTP do spreparowanego zasobu FTP.

W podatności CVE-2014-4877 w GNU Wget przed wersją 1.16, przy włączonej rekurencji, zdalne serwery FTP mogą zapisywać do dowolnych plików, co pozwala na wykonanie dowolnego kodu. Problem ten występuje w odpowiedzi LIST, która odnosi się do tej samej nazwy pliku w dwóch wpisach, z których jeden wskazuje, że nazwa pliku dotyczy dowiązania symbolicznego.

Podatność w GNU Wget do wersji 1.24.5. Funkcja url.c nieprawidłowo obsługuje średniki w komponencie userinfo URI, co może prowadzić do błędnej interpretacji danych jako części hosta.

Lokalna podatność na wykonanie kodu między użytkownikami w GNU wget (wersje Windows z eternallybored.org) z powodu zakodowanej na stałe ścieżki pliku konfiguracyjnego (C:\msys64), która jest zapisywalna przez nieuprzywilejowanych użytkowników, umożliwiając wykonanie dowolnego kodu przez dyrektywę use_askpass, potencjalnie prowadząc do eskalacji uprawnień lokalnych.

GNU Wget nie weryfikuje adresu IP zwróconego w odpowiedzi PASV protokołu FTP podczas pracy w trybie pasywnym. Złośliwy serwer FTP lub serwer HTTP przekierowujący do URL-a FTP może wykorzystać to zachowanie do przekierowania połączenia danych Wget na dowolny adres IP i port.

GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji html_quote_string() w pliku src/convert.c. Zdalny atakujący może wykorzystać spreparowany atrybut HTML z dużą liczbą znaków wymagających kodowania encji, co prowadzi do przepełnienia licznika całkowitoliczbowego, nieprawidłowego przydziału pamięci i przepełnienia bufora sterty.

GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji convert_fname() w pliku src/url.c. Błąd występuje podczas konwersji zestawu znaków nazwy pliku dostarczonej przez serwer, gdy ponowna alokacja bufora wyjściowego nieprawidłowo oblicza pozostałe miejsce, co może prowadzić do uszkodzenia pamięci.

W GNU Wget do wersji 1.25.0 włącznie, w funkcji parse_content_range() w pliku src/http.c, występuje podatność na przepełnienie liczby całkowitej. Atakujący może dostarczyć złośliwe wartości nagłówka Content-Range, powodując przepełnienie arytmetyki liczb całkowitych ze znakiem, co prowadzi do niezdefiniowanego zachowania i desynchronizacji pobierania.

GNU Wget do wersji 1.25.0 zawiera podatność polegającą na odczycie poniżej początku bufora sterty w funkcji clean_metalink_string() w pliku src/metalink.c. Złośliwy serwer może wykorzystać ten błąd, dostarczając dokument Metalink zawierający adres URL składający się wyłącznie ze znaków białych, co prowadzi do uszkodzenia pamięci.

GNU Wget do wersji 1.21.1 nie usuwa nagłówka Authorization przy przekierowaniu na inny origin. Jest to problem powiązany z CVE-2018-1000007.