CVE-2026-39983

WysokieCVSS 8.6

Opublikowano: 09/04/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

2.19%

Percentyl 80 - wyżej niż 80% wszystkich znanych CVE

Streszczenie

Biblioteka basic-ftp dla Node.js przed wersją 5.2.1 jest podatna na wstrzykiwanie komend FTP poprzez sekwencje CRLF w parametrach ścieżek plików. Atakujący może wykorzystać tę podatność do wykonania dowolnych komend FTP na serwerze.

Ocena ryzyka

Ryzyko polega na możliwości przejęcia kontroli nad sesją FTP przez atakującego, co może prowadzić do nieautoryzowanego dostępu, modyfikacji lub usunięcia plików na serwerze FTP.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę basic-ftp do wersji 5.2.1 lub nowszej, która zawiera poprawkę eliminującą podatność na wstrzykiwanie komend FTP.

Inne podatności w basic-ftp

CVE-2026-44240Wysokie
Podatność w basic-ftp przed wersją 5.3.1 umożliwia atak typu denial of service po stronie klienta podczas parsowania wieloliniowych odpowiedzi kontrolnych FTP. Złośliwy serwer FTP może wysłać nieukończoną odpowiedź, co prowadzi do nadmiernego zużycia pamięci i CPU.

Oryginalny opis (angielski, źródło NVD)

basic-ftp is an FTP client for Node.js. Prior to 5.2.1, basic-ftp allows FTP command injection via CRLF sequences (\r\n) in file path parameters passed to high-level path APIs such as cd(), remove(), rename(), uploadFrom(), downloadTo(), list(), and removeDir(). The library's protectWhitespace() helper only handles leading spaces and returns other paths unchanged, while FtpContext.send() writes the resulting command string directly to the control socket with \r\n appended. This lets attacker-controlled path strings split one intended FTP command into multiple commands. This vulnerability is fixed in 5.2.1.