| CVE ID | CVE-2026-105420 |
| Data publikacji | 28 października 2026 |
| Producent podatnego oprogramowania | Wing Soft Technology |
| Nazwa podatnego oprogramowania | Wing FTP Server |
| Podatne wersje | Wszystkie poniżej 8.2.6 |
| Typ podatności (CWE) | Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') (CWE-22) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Wing FTP Server i koordynował proces ujawniania informacji.
Podatność CVE-2026-105420: Wing FTP Server nie weryfikuje folderu bazowego użytkownika. Atakujący posiadający uprawnienia administratora może za pomocą skryptów dodawać katalogi użytkownika również poza folderem bazowym. Umożliwia to atakującemu zapisywanie plików w systemie i może prowadzić do zdalnego wykonania kodu z uprawnieniami właściciela procesu. Co istotne, ponieważ instrukcja instalacji wspomina o uruchamianiu polecenia z użyciem sudo, pliki są tworzone jako "root".
Problem został naprawiony w wersji 8.2.6.
Podziękowania
Za zgłoszenie podatności dziękujemy Olkowi Malinowskiemu.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.