# CERT Polska ostrzega przed podatnością path traversal w Wing FTP Server poniżej wersji 8.2.6

W Wing FTP Server wykryto podatność CVE-2026-105420, która pozwala administratorowi dodać katalogi użytkownika poza folderem bazowym i może prowadzić do zdalnego wykonania kodu. Poprawka jest w wersji 8.2.6.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/wing-ftp-server-path-traversal/>
- Rodzaj: Streszczenie
- Data publikacji: 28.10.2026
- Kategoria: [Aktualności](https://pelnomocnikcyber.pl/kategorie/aktualnosci/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [CERT Polska](https://cert.pl/posts/2026/10/CVE-2026-105420/) (28 października 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

CERT Polska opublikował 28 października 2026 r. ostrzeżenie o podatności CVE-2026-105420 w oprogramowaniu Wing FTP Server firmy Wing Soft Technology. Dotyczy ona wszystkich wersji poniżej 8.2.6. Jest to podatność typu path traversal (CWE-22). CERT Polska otrzymał zgłoszenie i koordynował proces ujawnienia informacji, a podatność zgłosił Olek Malinowski.

Wing FTP Server nie weryfikuje folderu bazowego użytkownika. Atakujący z uprawnieniami administratora może za pomocą skryptów dodawać katalogi użytkownika także poza tym folderem. Umożliwia to zapisywanie plików w systemie i może prowadzić do zdalnego wykonania kodu z uprawnieniami właściciela procesu. Instrukcja instalacji wspomina o uruchamianiu polecenia z użyciem `sudo`, dlatego pliki są tworzone jako root.

Jeśli używasz Wing FTP Server, sprawdź zainstalowaną wersję. Według CERT Polska problem został naprawiony w wersji **8.2.6**.

## Pojęcia w tym tekście

- [CERT Polska](https://pelnomocnikcyber.pl/slownik/cert-polska/): Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [Path traversal](https://pelnomocnikcyber.pl/slownik/path-traversal/): Typ podatności, w którym oprogramowanie niewłaściwie ogranicza ścieżkę dostępu do katalogu z ograniczonym dostępem.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 28 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.