CVE-2025-47812 — Wing FTP Server <= 7.4.3 Неаутентифицированное RCE (PoC)

Неаутентифицированная уязвимость удаленного выполнения кода в Wing FTP Server <= 7.4.3. Нулевой байт, вставленный в параметр username при входе, приводит к записи Lua-кода в файл сессии. При обращении к /dir.html с полученным cookie сессии вставленный код выполняется — как root на Linux или SYSTEM на Windows.

---

Как это работает

1. Специально сформированный POST-запрос к /loginok.html вставляет нулевой байт, за которым следует Lua-код, в поле username.
2. Сервер создает файл сессии, содержащий неочищенное имя пользователя (включая полезную нагрузку Lua).
3. GET-запрос к /dir.html с возвращенным cookie UID запускает выполнение вставленного Lua-кода.
4. Скрипт выходит из системы между командами, чтобы избежать превышения лимита одновременных сессий сервера.

Требования