CVE-2026-105420

Mở trang đầy đủ

CVSS 9.4 CRITICAL RCE Lộ dữ liệu

Path Traversal in Wing WFTP Server leading to Remote Code Execution

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

Wing FTP Server does not verify user's base folder. An attacker with admin privileges can add user directories via scripts, allowing the added directories to escape the base folder. This allows the attacker to write files on the system and can lead to remote code execution with process owner privileges.Critically, since the installation guide mentions running the command with sudo, the files are created as “root.”

This issue was fixed in version 8.2.6.

Điểm và phân loại

CVSS
9.4 CRITICAL v4.0
Nguồn điểm
NVD
Mức độ (theo nguồn)
CRITICAL
EPSS
—
CWE
CWE-22

Vector CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Ảnh hưởng

Sản phẩm

  • Wing Soft Technology Wing FTP Server

Vì sao được giữ

  • CVSS 9.4 >= 8.0

Loại tác động

RCE
từ khoá "remote code execution"
Lộ dữ liệu
CWE-22; từ khoá "path traversal"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
CERT-PL

Tham khảo