CVE-2026-90863
KrytyczneCVSS 9.1Streszczenie
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows ma brakującą autoryzację w interfejsie administracyjnym, co może pozwolić delegowanemu administratorowi hosta na przekroczenie zakresu uprawnień, potencjalnie umożliwiając wykonanie dowolnych poleceń z podwyższonymi uprawnieniami i pełne przejęcie serwera.
Ocena ryzyka
Przekroczenie uprawnień przez delegowanego administratora może doprowadzić do wykonania dowolnych poleceń i całkowitego przejęcia serwera bazowego.
Rekomendacja
Zaktualizuj WS_FTP Server do wersji 2024.0.7 lub 2025.0.4 (lub nowszej) i ogranicz liczbę oraz uprawnienia kont delegowanych administratorów hostów.
Inne podatności w Progress Software WS_FTP Server
Zobacz wszystkie- CVE-2026-90872Średnie
Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows zawiera podatność polegającą na niewłaściwej neutralizacji dyrektyw w dynamicznie ocenianym kodzie w konsoli webowej Manager. Uwierzytelniony administrator Manager może wykorzystać tę lukę do wykonania dowolnych poleceń z uprawnieniami procesu roboczego IIS serwera WS_FTP.
- CVE-2026-90871Średnie
Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows zawiera podatność polegającą na niewłaściwym ograniczeniu ścieżki do katalogu restrykcyjnego. Nieuwierzytelniony atakujący może wykorzystać tę lukę do wpływu na pliki poza zamierzonym katalogiem.
- CVE-2026-90870Średnie
Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows zawiera podatność polegającą na braku zwalniania sesji odbiornika backendu w komponencie Ad Hoc Transfer. Może to prowadzić do wyczerpania zasobów serwera i degradacji usługi.
- CVE-2026-90868Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, która w określonych konfiguracjach może pozwolić na wykonanie dowolnych poleceń.
- CVE-2026-90866Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność typu path traversal, która może pozwolić delegowanemu administratorowi hosta na dostęp do lokalizacji poza jego zakresem uprawnień, potencjalnie umożliwiając zdalne wykonanie kodu.
- CVE-2026-90865Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, która w określonych konfiguracjach może pozwolić na wykonanie dowolnych poleceń z podwyższonymi uprawnieniami.
- CVE-2026-90864Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność typu path traversal, która może pozwolić delegowanemu administratorowi hosta na dostęp do plików lub ich modyfikację poza jego zakresem uprawnień.
- CVE-2026-84295Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.6 i 2025.0.3 na Windows zawiera błąd nieprawidłowego uwierzytelniania, który może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na dostęp do poufnych informacji, w tym danych uwierzytelniających administratora.
Oryginalny opis (angielski, źródło NVD)
Missing authorization in the administrative interface of Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to exceed their authorized scope, potentially enabling arbitrary command execution with elevated privileges and complete compromise of the underlying server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS