CVE-2026-42167
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 90 - wyżej niż 90% wszystkich znanych CVE
Streszczenie
Podatność w module mod_sql w ProFTPD przed wersją 1.3.9a umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez nazwę użytkownika, gdy rejestrowane są żądania USER z rozwinięciem takim jak %U, a backend SQL pozwala na wykonywanie poleceń (np. COPY TO PROGRAM).
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze ProFTPD, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaleca się aktualizację ProFTPD do wersji 1.3.9a lub nowszej oraz ograniczenie uprawnień backendu SQL.
Oryginalny opis (angielski, źródło NVD)
mod_sql in ProFTPD before 1.3.9a allows remote attackers to execute arbitrary code via a username, in scenarios where there is logging of USER requests with an expansion such as %U, and the SQL backend allows commands (e.g., COPY TO PROGRAM).