CVE-2025-47812 — Wing FTP Server <= 7.4.3 RCE Não Autenticado (PoC)

Vulnerabilidade de execução remota de código não autenticada no Wing FTP Server <= 7.4.3. Um byte NULL injetado no parâmetro username durante o login faz com que código Lua seja escrito no arquivo de sessão. Quando /dir.html é acessado com o cookie de sessão resultante, o código injetado é executado — como root no Linux ou SYSTEM no Windows.

---

Como funciona

1. Um POST malicioso para /loginok.html injeta um byte NULL seguido de código Lua no campo username.
2. O servidor cria um arquivo de sessão contendo o nome de usuário não sanitizado (incluindo o payload Lua).
3. Uma requisição GET para /dir.html com o cookie UID retornado aciona a execução do código Lua injetado.
4. O script faz logout entre comandos para evitar atingir o limite de sessões simultâneas do servidor.

Requisitos