CVE-2025-47812

La falla es un bug de manejo incorrecto de bytes nulos en las interfaces web de usuario y de administrador de Wing FTP Server. La aplicación no maneja correctamente los bytes '\0' incrustados en la entrada, y un atacante usa eso para inyectar código Lua arbitrario en los archivos de sesión de usuario que el servidor mantiene. Como el servidor evalúa posteriormente esos archivos de sesión, el Lua inyectado se ejecuta, otorgando ejecución arbitraria de comandos del sistema con los privilegios del servicio FTP, que son root o SYSTEM de forma predeterminada, así que una única solicitud produce el compromiso total del servidor. Puede dispararse incluso a través de cuentas FTP anónimas donde estén habilitadas.

Los servidores de transferencia de archivos contienen y mueven exactamente el material sensible que las organizaciones intercambian, y suelen estar expuestos a internet para atender a socios externos, lo que convierte un RCE de calibre previo a la autenticación que se ejecuta como root en una exposición de alta severidad. La explotación pública siguió rápidamente a la divulgación. Actualice a Wing FTP Server 7.4.4 o posterior sin demora, deshabilite el acceso anónimo si no es estrictamente necesario, restrinja las interfaces web a redes de confianza y, como la ventana de explotación puede ser anterior al parcheo, inspeccione los directorios de archivos de sesión y el host en busca de Lua inyectado y web shells y rote las credenciales de servicio y de cuentas.