wsftp-server-scanner

29 October 2026 के Progress WS_FTP Server पैच बैच के लिए स्थानीय ट्रायाज: 15 कमज़ोरियाँ, जिनमें से एक 10.0 है। इसे कोई ऐसा वर्ज़न दें जो आपके स्वामित्व में है, यह बताता है कि वह इंस्टॉल अभी भी खुला है या नहीं, और यह उस जाल को पकड़ता है जो पहले पैच किए गए बिल्ड को झूठ बोलने पर मजबूर करता है। यह कभी नेटवर्क को नहीं छूता, कभी किसी सर्वर की जाँच नहीं करता, कभी कोई पेलोड नहीं भेजता।

बैच

विवरण	मान
मुख्य बिंदु	CVE-2026-84295, अनुचित प्रमाणीकरण, 10.0 क्रिटिकल: एक अनप्रमाणित रिमोट हमलावर संवेदनशील जानकारी तक पहुँच सकता है, जिसमें प्रशासनिक क्रेडेंशियल शामिल हैं
अगला सबसे गंभीर	CVE-2026-90868, OS कमांड इंजेक्शन, 9.9; CVE-2026-90864, CVE-2026-90863, CVE-2026-90866 9.1 पर; CVE-2026-90865, OS कमांड इंजेक्शन, 9.0
कुल	15 CVE: 6 क्रिटिकल, 3 उच्च, 6 मध्यम, बैच राइट-अप के अनुसार
शोषण	कोई पुष्टि नहीं, 31 October 2026 तक कोई सार्वजनिक प्रूफ़ ऑफ़ कॉन्सेप्ट रिपोर्ट नहीं। यह इस बारे में एक कथन है कि क्या रिपोर्ट किया गया था, न कि इंतज़ार करने का कारण: एक फ़ाइल-स्थानांतरण गेटवे में 10.0 अनप्रमाणित क्रेडेंशियल दोष को लंबी फ्यूज़ की ज़रूरत नहीं होती
उत्पाद	Progress WS_FTP Server केवल Windows पर

जाल: दो फ़िक्स्ड बिल्ड, एक नहीं

समूह	CVE	इसमें फ़िक्स्ड
A	CVE-2026-84294, CVE-2026-84295, CVE-2026-84296	2024.0.6 / 2025.0.3
B	CVE-2026-90861 से CVE-2026-90872 तक (12 CVE)	2024.0.7 / 2025.0.4

2024.0.6 या 2025.0.3 पर मौजूद होस्ट ने 10.0 दोष को बंद कर दिया है और अभी भी 9.9 कमांड इंजेक्शन दोष के प्रति खुला है। पहले पैच किए गए बिल्ड तक पैच करना पूरा हुआ लगता है और पूरा नहीं है। यह टूल दोनों समूहों को अलग-अलग ग्रेड करता है और ठीक उसी स्थिति के लिए TRAP प्रिंट करता है। तालिका में केवल पूरी तरह पैच किए गए बिल्ड 2024.0.7 और 2025.0.4 हैं (और उन शाखाओं में बाद के बिल्ड)।

स्थानीय क्यों, रिमोट क्यों नहीं

WS_FTP Server Windows पर चलता है, और यहाँ रिमोट वर्ज़न फ़िंगरप्रिंटिंग अविश्वसनीय है: लॉगिन बैनर छिपाया जा सकता है और SSH पहचान को दबाया जा सकता है। इसलिए यह टूल किसी भी चीज़ की जाँच नहीं करता। इसे Windows होस्ट पर ही चलाएँ (--local winreg के माध्यम से Programs and Features अनइंस्टॉल प्रविष्टियाँ पढ़ता है), या इसे WS_FTP Manager, About, या Programs and Features (--version) से एक वर्ज़न दें, या एक निर्यात की गई अनइंस्टॉल सूची (--registry-json) दें।

वर्ज़न नंबरिंग, दोनों रूप स्वीकार्य

Progress एक ही रिलीज़ को दो नंबरिंग के तहत बेचता है: 2024.0 यानी 9.0 और 2025.0 यानी 10.0। इसलिए 9.0.6 का अर्थ 2024.0.6 है और 10.0.4 का अर्थ 2025.0.4 है, और यह टूल उन्हें समान रूप से ग्रेड करता है। 2024.0 (9.0) से पुरानी रिलीज़, जिनमें 2022.0 (8.8.x) शामिल है, की अपनी शाखा में कोई पैच किया गया बिल्ड नहीं है: वे दोनों समूहों के लिए VULNERABLE ग्रेड करती हैं, और समाधान 2024.0.7 या 2025.0.4 में शाखा अपग्रेड है, न कि जगह पर पैच।

यह क्या जाँचता है

• आपके द्वारा दिया गया वर्ज़न (--version 2024.0.6), विभाजित फ़िक्स तालिका के विरुद्ध प्रति समूह ग्रेड किया गया
• यह Windows होस्ट (--local): WS_FTP Server अनइंस्टॉल प्रविष्टि, नाम से मिलान की गई ताकि WS_FTP Pro क्लाइंट इंस्टॉल को सर्वर के रूप में ग्रेड न किया जाए
• एक ऑफ़लाइन इन्वेंटरी (--registry-json entries.json): {DisplayName, DisplayVersion} प्रविष्टियों की एक JSON सूची, उन फ़्लीट के लिए जो Programs and Features को केंद्रीय रूप से निर्यात करते हैं
• पूरी तालिका (--list): सभी 15 CVE उनके समूह और फ़िक्स्ड बिल्ड के साथ

उपयोग

# grade one version, trap case
python3 wsftp_scanner.py --version 2024.0.6

# fully patched build
python3 wsftp_scanner.py --version 2025.0.4

# legacy marketing numbering, same grade
python3 wsftp_scanner.py --version 9.0.6

# on the Windows host itself
python3 wsftp_scanner.py --local

# from an exported uninstall list
python3 wsftp_scanner.py --registry-json entries.json

# machine-readable output for fleets
python3 wsftp_scanner.py --version 2024.0.5 --json

# the full 15-CVE table
python3 wsftp_scanner.py --list

एग्ज़िट कोड: 0 = कुछ भी भेद्य नहीं मिला, 2 = भेद्यता मिली, 1 = स्कैन त्रुटि। UNKNOWN एग्ज़िट कोड नहीं बदलता, लेकिन यह साफ़ भी नहीं है: 2024.0 / 2025.0 के बाहर की कोई शाखा (पूर्व-2024.0 रिलीज़ के अलावा) UNKNOWN आँकी जाती है क्योंकि इस टूल की तालिका में उसके लिए कोई निश्चित बिल्ड नहीं है।

जहाँ स्रोत असहमत हैं, और क्या अभी भी असत्यापित है

पहले एक बात: इस बैच के लिए प्राथमिक Progress ज्ञान लेख एक Progress ID साइन-इन के पीछे है, इसलिए इस बिल्ड के लिए इसे सीधे खोला नहीं जा सका। ऊपर दी गई विभाजित फ़िक्स तालिका को स्वतंत्र CVE रिकॉर्ड्स (cvefeed के माध्यम से CVE प्रोजेक्ट रिकॉर्ड्स, SecurityFocus प्रविष्टियाँ, और बैच राइट-अप) में परस्पर पुष्टि प्राप्त है, जो सभी एक ही Progress सलाह का हवाला देते हैं, और समूह विभाजन (3 + 12 = 15) उन सभी में सुसंगत है। यदि आपके पास Progress लॉगिन है, तो इस तालिका के विरुद्ध लेख की पुष्टि करें और यदि कुछ भी भिन्न हो तो एक issue खोलें।

दूसरा, व्यक्तिगत स्कोर केवल वहीं मुद्रित किए जाते हैं जहाँ कोई CVE रिकॉर्ड जाँचा गया था: 84295 पर 10.0, 90868 पर 9.9, 90864 / 90863 / 90866 पर 9.1, 90865 पर 9.0, 90867 पर 8.1, 84294 पर 7.7, 90869 पर 7.5, 90872 पर 6.6, 90871 पर 5.3। 84296, 90861, 90862 और 90870 के स्कोर की जाँच किए गए स्रोतों में व्यक्तिगत रूप से पुष्टि नहीं की गई थी, इसलिए टूल उन्हें समूह के अनुसार सूचीबद्ध करता है बिना कोई स्कोर निर्धारित किए। इससे ग्रेड में कोई बदलाव नहीं आता: निश्चित बिल्ड का निर्धारण समूह की सदस्यता करती है, व्यक्तिगत स्कोर नहीं।

यदि आप आज पैच नहीं कर सकते तो शमन

अपग्रेड ही समाधान है; पूर्व-2024.0 शाखाओं के लिए कोई पैच मौजूद नहीं है और समूह B को बंद करने वाला कोई आंशिक पैच भी नहीं है। जब तक आप अपग्रेड नहीं कर सकते, प्रशासनिक वेब कंसोल को केवल आंतरिक नेटवर्क के पीछे सीमित रखें, और 2024.0.7 / 2025.0.4 से नीचे के किसी भी इंटरनेट-सामना करने वाले WS_FTP Server को अनधिप्रमाणित क्रेडेंशियल त्रुटि के प्रति उजागर मानें। किसी भी ऐसे होस्ट पर प्रशासनिक क्रेडेंशियल रोटेट करें जो अपैचित रहते हुए इंटरनेट-सामना कर रहा था: प्रमुख त्रुटि उन्हें उजागर करती है, और पैच उन्हें अन-एक्सपोज़ नहीं करता।

परीक्षण

python3 -m unittest discover -s tests -v

17 परीक्षण: दोनों क्रमांकनों में संस्करण पार्सिंग, दोनों शाखाओं में ट्रैप, पूर्णतः पैच किए गए बिल्ड, लेगेसी 9.0 / 10.0 समतुल्यता, 2024.0-पूर्व बिना-फ़िक्स ग्रेडिंग, अनलिस्टेड-शाखा UNKNOWN, रजिस्ट्री-प्रविष्टि मिलान, और CLI एग्ज़िट कोड तथा 15-CVE सूची गणना।

आभार

• Progress Software, पैच बैच और विभाजित फ़िक्स तालिका के लिए जिसके विरुद्ध यह टूल ग्रेडिंग करता है
• CVE प्रोजेक्ट और CNA रिकॉर्ड्स, प्रति-CVE विवरण और स्कोर के लिए
• SecurityOnline, SecurityFocus और cvefeed, जिनके रिकॉर्ड्स ने तालिका की पुष्टि की, जबकि प्राथमिक लेख लॉगिन-वॉल के पीछे रहा

अस्वीकरण

केवल रक्षात्मक ट्राइएज। यह टूल संस्करण स्ट्रिंग्स की जाँच करता है और रिपोर्ट करता है कि कोई इंस्टॉल किसी फ़िक्स्ड बिल्ड से नीचे है या नहीं। यह कोई ट्रैफ़िक नहीं भेजता, किसी सर्वर की जाँच नहीं करता, और विक्रेता सलाह का विकल्प नहीं है। इसका उपयोग उन सिस्टम्स पर करें जो आपके स्वामित्व में हैं या जिनका ऑडिट करने के लिए आप अधिकृत हैं।

Vineeth Kumar (foxcornlab) द्वारा शोध। कोई बग मिला या कोई फ़ीचर चाहिए, तो एक issue खोलें।