CVE-2025-47812 — Wing FTP Server <= 7.4.3 RCE no autenticado (PoC)

Vulnerabilidad de ejecución remota de código no autenticada en Wing FTP Server <= 7.4.3. Un byte NULL inyectado en el parámetro username durante el inicio de sesión provoca que se escriba código Lua en el archivo de sesión. Cuando se accede a /dir.html con la cookie de sesión resultante, el código inyectado se ejecuta — como root en Linux o SYSTEM en Windows.

---

Cómo funciona

1. Una solicitud POST manipulada a /loginok.html inyecta un byte NULL seguido de código Lua en el campo username.
2. El servidor crea un archivo de sesión que contiene el nombre de usuario no sanitizado (incluyendo la carga útil Lua).
3. Una solicitud GET a /dir.html con la cookie UID devuelta desencadena la ejecución del código Lua inyectado.
4. El script cierra sesión entre comandos para evitar alcanzar el límite de sesiones concurrentes del servidor.

Requisitos