Wing FTP Server, сервер для передачи файлов по FTP (протокол передачи файлов), не проверяет, что каталоги пользователя остаются внутри базовой папки. За пределы базовой папки файлы пользователя выходить не должны. Администратор может через скрипты (сценарии автоматизации) добавить каталог вне этой границы, записать файлы и добиться выполнения кода с правами учётной записи сервера. При запуске с повышенными правами последствия тяжелее, но уязвимость затрагивает установки Wing FTP Server.
CVE-2026-105420 и выход за базовый каталог
Сервер не сверяет итоговый путь с базовой папкой при добавлении пользовательских каталогов, поэтому каталог может указывать за её пределы. Скрипты (сценарии автоматизации) могут создавать такие каталоги и задавать их пути. Для операции нужны права администратора. Источник не уточняет, идёт ли атака по сети или требует локального доступа, а также нужно ли участие пользователя. Детали можно проверить в описании CVE (общей базы уязвимостей и раскрытий) и документации Wing FTP Server.
Описание уязвимости называет исправлением версию 8.2.6. Администраторам нужно обновить Wing FTP Server до этой версии. Запись CVE не указывает исправленную версию, поэтому номер 8.2.6 нужно сверить с документацией продукта. Источник не приводит официальных обходных мер. После обновления нужно проверить учётные записи с правами администратора и созданные ими каталоги.
Отдельно нужно проверить, от какой учётной записи работает процесс Wing FTP Server. Если это root, запись файлов и выполнение кода идут с максимальными правами. Проверка помогает понять, какие файлы и какой код может создать атакующий.
Уязвимость не даёт прав администратора сама по себе. Атакующий должен уже иметь такую учётную запись. Ошибка расширяет возможности этой учётной записи. Проверка базовой папки должна удерживать пользователя в его каталоге. Без такой проверки ограничение перестаёт работать.
После выхода за базовую папку атакующий получает возможность записывать файлы в места, которые не предназначены для пользовательских данных. Запись в такие места позволяет подготовить выполнение кода. Владелец процесса - это учётная запись, от имени которой работает сервер. Атакующий выполняет код с правами этой учётной записи.
Запись файлов в системные каталоги не ограничивается папкой пользователя. Она даёт возможность разместить файлы, которые система может запустить. Если сервер или система запускают такой файл, атакующий получает выполнение кода. Права этого кода совпадают с правами процесса Wing FTP Server. Это касается не только каталога FTP, но и других частей системы.
sudo - команда, которая запускает программу с правами суперпользователя. Если Wing FTP Server устанавливают или запускают через sudo, файлы создаются от имени root, то есть суперпользователя. root - учётная запись с максимальными правами в системе. Тогда запись файлов и выполнение кода идут от имени root. Поэтому ошибка в проверке каталога даёт запись файлов с максимальными правами и возможное выполнение кода.
Оценки CVSS (общей системы оценки уязвимостей) в исходных данных нет. Уровень серьёзности источник также не приводит. Оценка CVSS - это балльная шкала тяжести уязвимости. Её отсутствие не отменяет риска: описанная механика уже включает запись файлов и выполнение кода.
Сведений об эксплуатации в реальных атаках в исходных данных нет. Публичное описание уязвимости не означает, что её уже используют. Наличие идентификатора CVE-2026-105420 не подтверждает атаки.
Для установок, где Wing FTP Server устанавливают или запускают через sudo, последствия включают запись файлов с правами root. Обновление до версии 8.2.6 закрывает эту уязвимость. Установки без повышенных прав тоже уязвимы, но запись и выполнение кода не выходят за права процесса.
Ссылки
