CVE-2026-39983
FTP-инъекция команд через CRLF в basic-ftp
- Опубликовано
- 9 апр. 2026 г.
- Обновлено
- 15 июл. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 25 авг. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:LНизкий · следующие 30 дней
- Процентиль
- 86,2 %
- Дата модели
- 15 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
basic-ftp — это FTP-клиент для Node.js. До версии 5.2.1 basic-ftp допускает инъекцию FTP-команд через CRLF-последовательности (\r\n) в параметрах пути к файлу, передаваемых в высокоуровневые API путей, такие как cd(), remove(), rename(), uploadFrom(), downloadTo(), list() и removeDir(). Вспомогательная функция protectWhitespace() библиотеки обрабатывает только ведущие пробелы и возвращает остальные пути без изменений, а FtpContext.send() записывает результирующую строку команды напрямую в управляющий сокет с добавлением \r\n. Это позволяет строкам пути, контролируемым атакующим, разделять одну предполагаемую FTP-команду на несколько команд. Эта уязвимость устранена в версии 5.2.1.
Источники
- CVE-2026-39983Информационный
Консультативное уведомление для basic-ftp ⌯⌲ 20 млн еженедельных загрузок
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.