CVE-2025-47812

A falha é um bug de tratamento incorreto de byte nulo nas interfaces web de usuário e de administrador do Wing FTP Server. A aplicação não trata corretamente bytes '\0' embutidos na entrada, e um atacante usa isso para injetar código Lua arbitrário nos arquivos de sessão do usuário que o servidor mantém. Como o servidor posteriormente avalia esses arquivos de sessão, o Lua injetado é executado, resultando em execução arbitrária de comandos do sistema com os privilégios do serviço FTP, que são root ou SYSTEM por padrão, de modo que uma única requisição resulta em comprometimento total do servidor. Pode ser disparada até mesmo por meio de contas FTP anônimas, onde estas estejam habilitadas.

Servidores de transferência de arquivos contêm e movimentam exatamente o material sensível que as organizações trocam, e são rotineiramente expostos à internet para atender parceiros externos, tornando um RCE de nível pré-autenticação que roda como root uma exposição de alta severidade. A exploração pública veio rapidamente após a divulgação. Atualize para o Wing FTP Server 7.4.4 ou posterior sem demora, desabilite o acesso anônimo se ele não for estritamente necessário, restrinja as interfaces web a redes confiáveis e, como a janela de exploração pode anteceder a correção, inspecione os diretórios de arquivos de sessão e o host em busca de Lua injetado e web shells e rotacione as credenciais de serviço e de conta.