CVE-2026-29515
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność w MiCode FileExplorer umożliwia ominięcie uwierzytelniania w serwerze FTP SwiFTP. Atakujący sieciowo mogą zalogować się bez ważnych poświadczeń, wysyłając dowolną nazwę użytkownika i hasło do handlera polecenia PASS, który bezwarunkowo przyznaje dostęp. Pozwala to na wyświetlanie, odczytywanie, zapisywanie i usuwanie plików udostępnionych przez serwer FTP.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości nieautoryzowanego dostępu do plików przechowywanych na urządzeniach z tą aplikacją. Atakujący może wykraść dane, zmodyfikować je lub usunąć, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastowe wyłączenie serwera FTP SwiFTP w aplikacji MiCode FileExplorer oraz zastąpienie jej bezpieczniejszym rozwiązaniem. Projekt jest zakończony (end-of-life), więc nie należy oczekiwać poprawek.
Oryginalny opis (angielski, źródło NVD)
MiCode FileExplorer contains an authentication bypass vulnerability in the embedded SwiFTP FTP server component that allows network attackers to log in without valid credentials. Attackers can send arbitrary username and password combinations to the PASS command handler, which unconditionally grants access and allows listing, reading, writing, and deleting files exposed by the FTP server. The MiCode/Explorer open source project has reached end-of-life status.