CVE-2026-58470

GNU wget w wersjach przed 1.18 umożliwia zdalnym serwerom zapis do dowolnych plików poprzez przekierowanie żądania z HTTP do spreparowanego zasobu FTP.

W podatności CVE-2014-4877 w GNU Wget przed wersją 1.16, przy włączonej rekurencji, zdalne serwery FTP mogą zapisywać do dowolnych plików, co pozwala na wykonanie dowolnego kodu. Problem ten występuje w odpowiedzi LIST, która odnosi się do tej samej nazwy pliku w dwóch wpisach, z których jeden wskazuje, że nazwa pliku dotyczy dowiązania symbolicznego.

Podatność w GNU Wget do wersji 1.24.5. Funkcja url.c nieprawidłowo obsługuje średniki w komponencie userinfo URI, co może prowadzić do błędnej interpretacji danych jako części hosta.

GNU wget jest podatny na atak DoS w funkcji uwierzytelniania FTP OPIE/S-KEY. Numer sekwencji dostarczony przez serwer w linii wyzwania FTP jest używany jako liczba iteracji w pętli wyprowadzania klucza MD5 bez górnego limitu. Złośliwy serwer FTP lub atakujący w sieci może wysłać spreparowane wyzwanie OPIE z numerem sekwencji bliskim INT_MAX, powodując wykonanie około 2,1 miliarda obliczeń MD5 i zawieszenie wget na pewien czas. Opcja --timeout nie łagodzi tego, ponieważ dotyczy tylko I/O sieciowego, a nie obliczeń CPU.

GNU Wget nie weryfikuje adresu IP zwróconego w odpowiedzi PASV protokołu FTP podczas pracy w trybie pasywnym. Złośliwy serwer FTP lub serwer HTTP przekierowujący do URL-a FTP może wykorzystać to zachowanie do przekierowania połączenia danych Wget na dowolny adres IP i port.

GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji html_quote_string() w pliku src/convert.c. Zdalny atakujący może wykorzystać spreparowany atrybut HTML z dużą liczbą znaków wymagających kodowania encji, co prowadzi do przepełnienia licznika całkowitoliczbowego, nieprawidłowego przydziału pamięci i przepełnienia bufora sterty.

GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji convert_fname() w pliku src/url.c. Błąd występuje podczas konwersji zestawu znaków nazwy pliku dostarczonej przez serwer, gdy ponowna alokacja bufora wyjściowego nieprawidłowo oblicza pozostałe miejsce, co może prowadzić do uszkodzenia pamięci.

GNU Wget do wersji 1.25.0 zawiera podatność polegającą na odczycie poniżej początku bufora sterty w funkcji clean_metalink_string() w pliku src/metalink.c. Złośliwy serwer może wykorzystać ten błąd, dostarczając dokument Metalink zawierający adres URL składający się wyłącznie ze znaków białych, co prowadzi do uszkodzenia pamięci.