Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Wing FTP Server i koordynował proces ujawniania informacji.
Podatność CVE-2026-105420: Wing FTP Server nie weryfikuje folderu bazowego użytkownika. Atakujący posiadający uprawnienia administratora może dzięki skryptów dodawać katalogi użytkownika również poza folderem bazowym. Umożliwia to atakującemu zapisywanie plików w systemie i może prowadzić do zdalnego wykonania kodu z uprawnieniami właściciela procesu. Co istotne, ponieważ instrukcja instalacji wspomina o uruchamianiu polecenia z użyciem sudo, pliki są tworzone jako "root".
Problem został naprawiony w wersji 8.2.6.
Podziękowania
Za zgłoszenie podatności dziękujemy Olkowi Malinowskiemu.
