CVE-2025-47812 — Wing FTP Server <= 7.4.3 Nicht authentifizierte RCE (PoC)

Schwachstelle zur nicht authentifizierten Remote-Codeausführung in Wing FTP Server <= 7.4.3. Ein während der Anmeldung in den Parameter username injiziertes NULL-Byte bewirkt, dass Lua-Code in die Sitzungsdatei geschrieben wird. Wird /dir.html mit dem resultierenden Sitzungs-Cookie aufgerufen, wird der injizierte Code ausgeführt – unter Linux als Root, unter Windows als SYSTEM.

---

So funktioniert es

1. Ein manipulierter POST an /loginok.html injiziert ein NULL-Byte gefolgt von Lua-Code in das Feld username.
2. Der Server erstellt eine Sitzungsdatei, die den nicht bereinigten Benutzernamen enthält (einschließlich der Lua-Nutzlast).
3. Eine GET-Anfrage an /dir.html mit dem zurückgegebenen UID-Cookie löst die Ausführung des injizierten Lua-Codes aus.
4. Das Skript meldet sich zwischen den Befehlen ab, um das Limit für gleichzeitige Sitzungen des Servers nicht zu überschreiten.

Voraussetzungen