CERT Polska ostrzega przed podatnością path traversal w Wing FTP Server poniżej wersji 8.2.6
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Aktualności
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
W Wing FTP Server wykryto podatność CVE-2026-105420, która pozwala administratorowi dodać katalogi użytkownika poza folderem bazowym i może prowadzić do zdalnego wykonania kodu. Poprawka jest w wersji 8.2.6.
CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opublikował 28 października 2026 r. ostrzeżenie o podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-105420 w oprogramowaniu Wing FTP Server firmy Wing Soft Technology. Dotyczy ona wszystkich wersji poniżej 8.2.6. Jest to podatność typu path traversalPath traversal Typ podatności, w którym oprogramowanie niewłaściwie ogranicza ścieżkę dostępu do katalogu z ograniczonym dostępem. (CWE-22). CERT Polska otrzymał zgłoszenie i koordynował proces ujawnienia informacji, a podatność zgłosił Olek Malinowski.
Wing FTP Server nie weryfikuje folderu bazowego użytkownika. Atakujący z uprawnieniami administratora może za pomocą skryptów dodawać katalogi użytkownika także poza tym folderem. Umożliwia to zapisywanie plików w systemie i może prowadzić do zdalnego wykonania kodu z uprawnieniami właściciela procesu. Instrukcja instalacji wspomina o uruchamianiu polecenia z użyciem sudo, dlatego pliki są tworzone jako root.
Jeśli używasz Wing FTP Server, sprawdź zainstalowaną wersję. Według CERT Polska problem został naprawiony w wersji 8.2.6.
Pojęcia w tym tekście (3)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- Path traversal
- Typ podatności, w którym oprogramowanie niewłaściwie ogranicza ścieżkę dostępu do katalogu z ograniczonym dostępem.