CVE-2026-105420
Wing Soft Technology Wing FTP Server
Traduzido automaticamente do inglês.
- Wing Soft Technology Wing FTP Server
- Crítica
- CVSS 9.4
- Versão corrigida informada
Resumo
Wing FTP Server não verifica a pasta base do usuário. Um atacante com privilégios de administrador pode adicionar diretórios de usuários via scripts, permitindo que os diretórios adicionados escapem da pasta base.
Do registro CVE.
Ler a descrição original
Registro CVE
Wing FTP Server does not verify user's base folder. An attacker with admin privileges can add user directories via scripts, allowing the added directories to escape the base folder. This allows the attacker to write files on the system and can lead to remote code execution with process owner privileges.Critically, since the installation guide mentions running the command with `sudo`, the files are created as “root.”
This issue was fixed in version 8.2.6.
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Wing Soft Technology Wing FTP Server | antes de 8.2.6 | 8.2.6 |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.4 (v4.0, pontuado por CERT-PL)
- Fraqueza
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
- Fabricante
- Wing Soft Technology, Wing FTP Server
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.