Kritisk sårbarhed i WingFTP

Der er blevet observeret en kritisk "Remote Code Execution (RCE)" sårbarhed i WingFTP.

Sårbarheden har id’et CVE-2025-47812 og en CVSS-score på maksimale 10,0. Bemærk, at CVE-nummeret pt. Er reserveret, hvilket kan skyldes at der er igangværende undersøgelser. Forventningen er, at advisoriet vil blive opdateret af den ”numbering authority”, der har udstedt CVE-nummeret til sårbarheden, når detaljerne er tilgængelige.

De berørte systemer er WingFTP versioner før 7.4.4

Sårbarheden beskrives ved, at Endpoint på /loginok.html håndterer NULL-bits forkert, når det behandler brugernavnsparameteren. Dette kan give en ondsindet aktør muligheden for at injekt vilkårlig Lua-kode i brugerens sessionsfiler.

En succesfuld udnyttelse af sårbarheden kan tillade en uautentificeret aktør at udføre vilkårlige kommandoer på den underliggende server, da WingFTP kører som root på Linux og NT AUTHORITY/SYSTEM på Windows, som standard.

Det anbefales at opdatere de sårbare installationer med det samme, jf. producentens anvisninger.

WingFTP er et værktøj til håndtering af filoverførsler via forskellige protokoller.