Wing FTP Server: Path Traversal führt zu möglicher Remote Code Execution
Zusammenfassung
Wing FTP Server prüft das Basisverzeichnis von Benutzern nicht korrekt. Ein Angreifer mit administrativen Rechten kann über Skripte Benutzerverzeichnisse hinzufügen, die das Basisverzeichnis verlassen, Dateien auf dem System schreiben und möglicherweise Code mit den Rechten des Serverprozesses ausführen. Da der Installationsleitfaden die Ausführung mit sudo vorsieht, können Dateien als root erstellt werden. Der CVSS-Wert 9.4 setzt voraus, dass der Angreifer bereits Adminrechte besitzt.
Betroffen
- Wing FTP Server Versionen vor 8.2.6 (CERT Polska).
- VulDB nennt den Bereich bis 8.2.5.
Behoben in
- Auf Wing FTP Server 8.2.6 oder neuer aktualisieren. Der Hersteller hat 8.2.6 am 9. Oktober 2026 veröffentlicht.
Umgehung
Unbekannt. Keine Workaround-Massnahme des Herstellers gefunden.
- Admin- und Domain-Admin-Rechte auf die nötigen Konten beschränken.
- Den Dienst als normaler Benutzer statt als root oder SYSTEM betreiben, als allgemeine Härtungsmassnahme.
Ausnutzung
- Laut OffSeq ist keine Ausnutzung in freier Wildbahn bekannt.
- VulDB gibt an, dass kein Exploit verfügbar ist. Ein Eintrag in Metasploit oder nuclei konnte nicht bestätigt werden.
Unsere Empfehlung
- Alle Wing-FTP-Server-Instanzen und deren Versionen erfassen.
- Jede Instanz unter 8.2.6 auf 8.2.6 oder neuer aktualisieren.
- Admin- und Domain-Admin-Konten prüfen und deren Passwörter erneuern.
- Prüfen, ob der Dienst als root läuft, und bei Bedarf ändern.
- Logs auf unerwartete Verzeichnisse oder Dateien in Benutzerkonten prüfen.
- Sicherstellen, dass Admin-Oberflächen nicht aus dem Internet erreichbar sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT Polska: Vulnerability in Wing FTP Server software cert.pl
- Wing FTP Server vendor website www.wftpserver.com
- Wing FTP Server version history www.wftpserver.com
- VulDB entry for CVE-2026-105420 vuldb.com
- OffSeq Radar threat entry for CVE-2026-105420 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:42.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.