CVE-2025-47812 – Удаленное выполнение кода (RCE) на Wing FTP Server через внедрение Lua

Автор: 0xgh057r3c0n

🧠 Описание

Этот эксплойт использует уязвимость внедрения Lua в обработчике входа (loginok.html) Wing FTP Server для выполнения произвольных команд операционной системы или получения обратной оболочки (reverse shell). Он злоупотребляет неочищенным выполнением Lua-кода через параметр username.

📦 Требования

• Python 3.6 или выше
• pip3

Пакеты Python

Установите необходимые пакеты с помощью:

pip3 install -r requirements.txt

Или вручную:

pip3 install requests colorama

🛠️ Установка

git clone https://github.com/0xgh057r3c0n/CVE-2025-47812.git
cd CVE-2025-47812
python3 CVE-2025-47812.py

🚀 Использование

Запустите скрипт:

python3 CVE-2025-47812.py

Опции:

• Вариант 1: Выполнить системную команду (например, whoami, id)
• Вариант 2: Запустить обратную оболочку (включено несколько вариантов полезной нагрузки)

💡 Пример

Target URL (e.g., http://localhost:5466): http://192.168.1.100:5466
Username (e.g., anonymous): anonymous
Your choice (1 or 2): 1
Command to execute (default: whoami): whoami

⚠️ Правовое предупреждение

Этот инструмент предоставляется исключительно для образовательных целей и авторизованного тестирования безопасности. Вы несете ответственность за свои действия. Используйте только на системах, которые вам принадлежат или на тестирование которых у вас есть разрешение.

📄 Лицензия

Этот проект распространяется под лицензией MIT. Подробности см. в файле LICENSE.