CVE-2026-120491
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Wing FTP Server antérieures à la 8.2.6 sont concernées. Ce logiciel permet de gérer des fichiers via une interface web. La faille provient du fait que le serveur ne nettoie pas correctement le paramètre `nowpath` dans `webclient/makethumb.html`, ce qui permet à un utilisateur d'injecter un script malveillant qui se retrouve stocké dans les journaux de connexion XML du système.
Un utilisateur authentifié disposant d'un accès client web basique peut déclencher cela en formulant une requête spécifique. Si un administrateur du serveur consulte la liste des connexions, le script s'exécute dans son navigateur, permettant potentiellement à l'attaquant d'exécuter des commandes via la console Lua. Cela nécessite que l'administrateur visite une page spécifique, mais une fois déclenchée, l'intégrité de la session administrative est compromise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Wing FTP Server before 8.2.6 contains a stored cross-site scripting vulnerability that allows authenticated web-client users to inject script by sending a crafted nowpath parameter to webclient/makethumb.html. Attackers can break out of the directory CDATA section in admin_get_lastconn.html XML to forge a connection id, which executes in administrators' browsers when admin_connection_list.html auto-refreshes, enabling Lua console abuse.