Wing FTP Server 發現 CVE-2026-105420 路徑遍歷漏洞 可導致遠端程式執行
CVE-2026-105420 - Path Traversal in Wing WFTP Server leading to Remote Code Execution
Wing FTP Server 發現 CVE-2026-105420 路徑遍歷漏洞，允許具管理員許可權的攻擊者在系統上寫入檔案並執行任意程式。
- 漏洞原理：未驗證使用者基底資料夾，允許新增目錄逃逸至基底外。
此漏洞可使管理員利用路徑遍歷執行任意程式，並可在系統層級取得 root 許可權，請立即檢查並更新。
Wing FTP Server 未驗證使用者的基底資料夾。具有管理員許可權的攻擊者可透過指令碼新增使用者目錄，導致新增的目錄能脫離基底資料夾。這使攻擊者能在系統上寫入檔案，並可能以程序擁有者許可權執行遠端程式碼。關鍵的是，安裝指南提到以 `sudo` 執行命令，檔案會以「root」身份建立。 此問題已於 8.2.6 版修正。
影響
受影響產品
以下產品受到 CVE-2026-105420 漏洞影響。
即使 cvefeed.io 已知受影響產品的確切版本，資訊也未在下表中列出。
| ID | Vendor | Product | Action |
|---|---|---|---|
| 1 | Wing_soft_technology | wing_ftp_server |
Common Vulnerability Scoring System（CVSS）是一個標準化框架，用於評估軟體與系統漏洞的嚴重性。我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。
| Score | Version | Severity | Vector | Exploitability Score | Impact Score | Source |
|---|---|---|---|---|---|---|
| CVSS 4.0 | CRITICAL | 4bb8329e-dd38-46c1-aafb-9bf32bcb93c6 |
更新 Wing FTP Server 至 8.2.6 版或更高版本以修正目錄遍歷漏洞。
- 更新 Wing FTP Server 至 8.2.6 版。
- 如有可用的供應商修補程式，請套用。
- 驗證目錄限制已被強制執行。
- 限制管理員許可權。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）漏洞。以下清單為已在 GitHub 釋出的公開漏洞與概念驗證，按最近更新時間排序。
由於可能的效能問題，結果僅限於前 15 個倉庫。
以下清單為在文章中任何地方提及 CVE-2026-105420 漏洞的新聞。
EPSS 是每日估計在未來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。