CVE-2026-58472

GNU wget w wersjach przed 1.18 umożliwia zdalnym serwerom zapis do dowolnych plików poprzez przekierowanie żądania z HTTP do spreparowanego zasobu FTP.

W podatności CVE-2014-4877 w GNU Wget przed wersją 1.16, przy włączonej rekurencji, zdalne serwery FTP mogą zapisywać do dowolnych plików, co pozwala na wykonanie dowolnego kodu. Problem ten występuje w odpowiedzi LIST, która odnosi się do tej samej nazwy pliku w dwóch wpisach, z których jeden wskazuje, że nazwa pliku dotyczy dowiązania symbolicznego.

Podatność w GNU Wget do wersji 1.24.5. Funkcja url.c nieprawidłowo obsługuje średniki w komponencie userinfo URI, co może prowadzić do błędnej interpretacji danych jako części hosta.

Lokalna podatność na wykonanie kodu między użytkownikami w GNU wget (wersje Windows z eternallybored.org) z powodu zakodowanej na stałe ścieżki pliku konfiguracyjnego (C:\msys64), która jest zapisywalna przez nieuprzywilejowanych użytkowników, umożliwiając wykonanie dowolnego kodu przez dyrektywę use_askpass, potencjalnie prowadząc do eskalacji uprawnień lokalnych.

GNU wget jest podatny na atak DoS w funkcji uwierzytelniania FTP OPIE/S-KEY. Numer sekwencji dostarczony przez serwer w linii wyzwania FTP jest używany jako liczba iteracji w pętli wyprowadzania klucza MD5 bez górnego limitu. Złośliwy serwer FTP lub atakujący w sieci może wysłać spreparowane wyzwanie OPIE z numerem sekwencji bliskim INT_MAX, powodując wykonanie około 2,1 miliarda obliczeń MD5 i zawieszenie wget na pewien czas. Opcja --timeout nie łagodzi tego, ponieważ dotyczy tylko I/O sieciowego, a nie obliczeń CPU.

GNU Wget nie weryfikuje adresu IP zwróconego w odpowiedzi PASV protokołu FTP podczas pracy w trybie pasywnym. Złośliwy serwer FTP lub serwer HTTP przekierowujący do URL-a FTP może wykorzystać to zachowanie do przekierowania połączenia danych Wget na dowolny adres IP i port.

GNU Wget do wersji 1.25.0 zawiera podatność przepełnienia bufora sterty w funkcji convert_fname() w pliku src/url.c. Błąd występuje podczas konwersji zestawu znaków nazwy pliku dostarczonej przez serwer, gdy ponowna alokacja bufora wyjściowego nieprawidłowo oblicza pozostałe miejsce, co może prowadzić do uszkodzenia pamięci.

W GNU Wget do wersji 1.25.0 włącznie, w funkcji parse_content_range() w pliku src/http.c, występuje podatność na przepełnienie liczby całkowitej. Atakujący może dostarczyć złośliwe wartości nagłówka Content-Range, powodując przepełnienie arytmetyki liczb całkowitych ze znakiem, co prowadzi do niezdefiniowanego zachowania i desynchronizacji pobierania.

GNU Wget do wersji 1.25.0 zawiera podatność polegającą na odczycie poniżej początku bufora sterty w funkcji clean_metalink_string() w pliku src/metalink.c. Złośliwy serwer może wykorzystać ten błąd, dostarczając dokument Metalink zawierający adres URL składający się wyłącznie ze znaków białych, co prowadzi do uszkodzenia pamięci.

GNU Wget do wersji 1.21.1 nie usuwa nagłówka Authorization przy przekierowaniu na inny origin. Jest to problem powiązany z CVE-2018-1000007.