Wing FTP Server 8.2.6 之前版本曝出路徑遍歷漏洞 (CVE-2026-105420)
Vulnerability in Wing FTP Server software
AI 導讀
CERT Polska 報告 Wing FTP Server 8.2.6 之前版本存在路徑遍歷漏洞，允許管理員利用指令碼新增使用者目錄並以 root 許可權寫入系統檔案，可能導致遠端程式碼執行。
推薦理由
此漏洞允許管理員以 root 許可權寫入系統檔案，對 Wing FTP Server 8.2.6 以下部署構成重大風險。
正文 · AI 翻譯
Wing FTP Server 軟體漏洞
| CVE ID | CVE-2026-105420 |
| 釋出日期 | 28 October 2026 |
| 供應商 | Wing Soft Technology |
| 產品 | Wing FTP Server |
| 易受攻擊版本 | All before 8.2.6 |
| 漏洞型別 (CWE) | 不正確限制路徑名至受限目錄（'路徑穿越'）(CWE-22) |
| 報告來源 | 報告至 CERT Polska |
描述
CERT Polska 已收到關於 Wing FTP Server 軟體漏洞的報告，並參與其披露的協調工作。
漏洞 CVE-2026-105420：Wing FTP Server 未驗證使用者的基底資料夾。擁有管理員許可權的攻擊者可以透過指令碼新增使用者目錄，導致新增目錄能逃逸基底資料夾。這允許攻擊者在系統上寫入檔案，並可能導致以程序擁有者許可權執行遠端程式碼。關鍵的是，因為安裝指南提到以 sudo 執行指令，檔案將以「root」身分建立。
此問題已於 8.2.6 版修復。
致謝
感謝 Olek Malinowski 提供負責任的漏洞報告。
有關 CERT Polska 協調漏洞披露流程的更多資訊可在 https://cert.pl/en/cvd/ 找到。