CVE-2026-90871
ŚrednieCVSS 5.3Streszczenie
Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows zawiera podatność polegającą na niewłaściwym ograniczeniu ścieżki do katalogu restrykcyjnego. Nieuwierzytelniony atakujący może wykorzystać tę lukę do wpływu na pliki poza zamierzonym katalogiem.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do plików poza zamierzonym katalogiem, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji. Może to naruszyć poufność i integralność danych.
Rekomendacja
Zaktualizuj Progress Software WS_FTP Server do wersji 2024.0.7 lub 2025.0.4 (lub nowszej). Zweryfikuj uprawnienia dostępu do systemu plików.
Inne podatności w Progress Software WS_FTP Server
Zobacz wszystkie- CVE-2026-90872Średnie
Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows zawiera podatność polegającą na niewłaściwej neutralizacji dyrektyw w dynamicznie ocenianym kodzie w konsoli webowej Manager. Uwierzytelniony administrator Manager może wykorzystać tę lukę do wykonania dowolnych poleceń z uprawnieniami procesu roboczego IIS serwera WS_FTP.
- CVE-2026-90870Średnie
Progress Software WS_FTP Server w wersjach przed 2024.0.7 i 2025.0.4 na Windows zawiera podatność polegającą na braku zwalniania sesji odbiornika backendu w komponencie Ad Hoc Transfer. Może to prowadzić do wyczerpania zasobów serwera i degradacji usługi.
- CVE-2026-90868Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, która w określonych konfiguracjach może pozwolić na wykonanie dowolnych poleceń.
- CVE-2026-90866Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność typu path traversal, która może pozwolić delegowanemu administratorowi hosta na dostęp do lokalizacji poza jego zakresem uprawnień, potencjalnie umożliwiając zdalne wykonanie kodu.
- CVE-2026-90865Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego, która w określonych konfiguracjach może pozwolić na wykonanie dowolnych poleceń z podwyższonymi uprawnieniami.
- CVE-2026-90864Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows zawiera podatność typu path traversal, która może pozwolić delegowanemu administratorowi hosta na dostęp do plików lub ich modyfikację poza jego zakresem uprawnień.
- CVE-2026-90863Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.7 i 2025.0.4 na Windows ma brakującą autoryzację w interfejsie administracyjnym, co może pozwolić delegowanemu administratorowi hosta na przekroczenie zakresu uprawnień, potencjalnie umożliwiając wykonanie dowolnych poleceń z podwyższonymi uprawnieniami i pełne przejęcie serwera.
- CVE-2026-84295Krytyczne
Progress Software WS_FTP Server w wersjach starszych niż 2024.0.6 i 2025.0.3 na Windows zawiera błąd nieprawidłowego uwierzytelniania, który może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na dostęp do poufnych informacji, w tym danych uwierzytelniających administratora.
Oryginalny opis (angielski, źródło NVD)
Improper limitation of a pathname to a restricted directory in Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow an unauthenticated attacker to affect files outside the intended directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS