CVE-2025-47812 — Wing FTP Server <= 7.4.3 Esecuzione di codice remoto non autenticata (PoC)

Vulnerabilità di esecuzione di codice remoto non autenticata in Wing FTP Server <= 7.4.3. Un byte NULL iniettato nel parametro username durante il login causa la scrittura di codice Lua nel file di sessione. Quando si accede a /dir.html con il cookie di sessione risultante, il codice iniettato viene eseguito — come root su Linux o SYSTEM su Windows.

---

Come funziona

1. Una richiesta POST modificata a /loginok.html inietta un byte NULL seguito da codice Lua nel campo username.
2. Il server crea un file di sessione contenente il nome utente non sanificato (incluso il payload Lua).
3. Una richiesta GET a /dir.html con il cookie UID restituito attiva l'esecuzione del codice Lua iniettato.
4. Lo script effettua il logout tra i comandi per evitare di raggiungere il limite di sessioni concorrenti del server.

Requisiti