CVE-2025-47812 — Wing FTP Server <= 7.4.3 RCE non authentifié (PoC)

Vulnérabilité d'exécution de code à distance non authentifiée dans Wing FTP Server <= 7.4.3. Un octet nul injecté dans le paramètre username lors de la connexion permet d'écrire du code Lua dans le fichier de session. Lors de l'accès à /dir.html avec le cookie de session obtenu, le code injecté est exécuté — en tant que root sur Linux ou SYSTEM sur Windows.

Comment ça fonctionne

1. Une requête POST forgée vers /loginok.html injecte un octet nul suivi d'un code Lua dans le champ username.
2. Le serveur crée un fichier de session contenant le nom d'utilisateur non assaini (y compris la charge utile Lua).
3. Une requête GET vers /dir.html avec le cookie UID renvoyé déclenche l'exécution du code Lua injecté.
4. Le script se déconnecte entre chaque commande pour éviter d'atteindre la limite de sessions simultanées du serveur.

Prérequis

• Python 3
• Installer les dépendances :

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

Utilisation

python3 exploit.py -u http://TARGET

Exemple :

$ python3 exploit.py -u http://10.10.10.10
[*] Targeting http://10.10.10.10
[*] Logging in with injected payload...
[*] Triggering payload...
[+] Target is vulnerable! Command output:
uid=0(root) gid=0(root) groups=0(root)

[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
root

Références

• CVE-2025-47812
• Wing FTP Server 7.4.4 (correctif)
• PoC original par 4m3rr0r

Crédits

• Découverte et exploit original : Sheikh Mohammad Hasan alias 4m3rr0r
• Nettoyage et simplification : Esteban Zárate