CVE-2020-20277
Publiée le 2020-12-18 · Dernière modification le 2026-06-17
Les versions 2.7 à 2.10 du serveur FTP uFTPd sont affectées par des failles dans la manière dont le logiciel restreint les utilisateurs à leurs répertoires personnels. Un attaquant distant non authentifié peut contourner ces restrictions pour lire ou écrire n'importe quel fichier sur le système, divulguer la mémoire des processus ou potentiellement exécuter du code arbitraire. Cette exploitation est facile à réaliser via le réseau et ne nécessite aucun identifiant préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
There are multiple unauthenticated directory traversal vulnerabilities in different FTP commands in uftpd FTP server versions 2.7 to 2.10 due to improper implementation of a chroot jail in common.c's compose_abspath function that can be abused to read or write to arbitrary files on the filesystem, leak process memory, or potentially lead to remote code execution.