CVE-2026-90862
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Nieprawidłowa autoryzacja w module Web Transfer w serwerze WS_FTP Server firmy Progress Software (wersje przed 2024.0.7 i 2025.0.4 na Windows) pozwala atakującemu znającemu hasło użytkownika na dostęp do określonych plików tego konta bez spełnienia wymogów uwierzytelniania wieloskładnikowego.
Ocena ryzyka
Osoba posiadająca samo hasło (np. w wyniku wycieku) może ominąć MFA i uzyskać dostęp do plików konta, co osłabia ochronę opartą na uwierzytelnianiu wieloskładnikowym.
Rekomendacja
Zaktualizuj WS_FTP Server do wersji 2024.0.7 lub 2025.0.4 (lub nowszej) i przejrzyj logi dostępu do modułu Web Transfer pod kątem podejrzanych sesji.
Inne podatności w WS_FTP Server
Zobacz wszystkie- CVE-2023-40044KrytyczneAktywnie exploitowane
W serwerze WS_FTP Server w wersjach wcześniejszych niż 8.7.4 i 8.8.2, nieuwierzytelniony atakujący może wykorzystać podatność na deserializację .NET w module Ad Hoc Transfer do wykonania zdalnych poleceń na systemie operacyjnym serwera WS_FTP.
- CVE-2026-90869Wysokie
Zdalny atakujący, który zna ważny klucz publiczny SSH przypisany do konta, może zatrzymać współdzieloną usługę SSH w Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows.
- CVE-2026-90867Wysokie
Nieprawidłowa kontrola dostępu w konsoli Web Admin programu Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows może ujawnić funkcje administracyjne zdalnym próbom uwierzytelnienia.
- CVE-2026-90861Średnie
Serwer WS_FTP Server firmy Progress Software (wersje przed 2024.0.7 i 2025.0.4 na Windows) może ujawnić hasło użytkownika w postaci jawnej innemu administratorowi, który może je wykorzystać do uzyskania szerszego dostępu administracyjnego do serwera.
- CVE-2026-84296Średnie
Luka umożliwiająca obejście uwierzytelniania wieloskładnikowego w komponencie SSH serwera WS_FTP Server firmy Progress Software (wersje przed 2024.0.6 i 2025.0.3 na Windows) pozwala uwierzytelnionym użytkownikom ominąć wymogi MFA poprzez nieprawidłowe powiązanie czynników uwierzytelniania między kontami.
- CVE-2026-84294Wysokie
Nieprawidłowe ograniczenie ścieżki w komponencie Ad Hoc Transfer programu Progress Software WS_FTP Server w wersjach przed 2024.0.6 i 2025.0.3 na Windows może pozwolić uwierzytelnionemu użytkownikowi na dostęp do plików poza zamierzonymi katalogami.
- CVE-1999-0362Średnie
Serwer WS_FTP jest podatny na zdalny atak typu denial of service (DoS) poprzez wykorzystanie komendy cwd.
Oryginalny opis (angielski, źródło NVD)
Improper authentication in the Web Transfer Module of Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow an attacker with a user’s password to access certain files associated with that account without satisfying multi-factor authentication requirements.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS