【漏洞通告】Wing FTP Server 远程代码执行漏洞(CVE-2025-47812)
发布时间 2025-07-02一、漏洞概述
漏洞名称 | Wing FTP Server 远程代码执行漏洞 | ||
CVE ID | CVE-2025-47812 | ||
漏洞类型 | RCE | 发现时间 | 2025-07-02 |
漏洞评分 | 暂无 | 漏洞等级 | 严重 |
攻击向量 | 网络 | 所需权限 | 无 |
利用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 已公开 | 在野利用 | 未发现 |
Wing FTP Server是一款跨平台的FTP服务器软件，支持FTP、FTPS、SFTP和HTTP/S协议，提供文件共享、远程管理和自动化任务功能。它适用于个人和企业用户，提供高效的文件传输和安全功能，包括多用户支持、访问控制、日志记录和加密连接。Wing FTP Server提供简洁的Web管理界面，易于配置和维护，适用于Windows、Linux和macOS等操作系统。
2025年7月2日，启明星辰集团VSRC监测到Wing FTP Server存在远程代码执行漏洞（CVE-2025-47812），攻击者可通过在用户名中注入NULL字节绕过身份验证。无需有效凭证，攻击者仅需附加NULL字节，即可通过身份验证并获取有效会话，进而执行任意代码。具体表现为，用户名包含NULL字节时，系统仅处理NULL前的部分，导致认证绕过并成功登录。恶意代码随后可通过会话文件注入并执行，由于Wing FTP Server在Linux系统上默认以root权限运行，攻击者利用该漏洞可获得完全的系统控制权限；在Windows系统上，Wing FTP Server默认以SYSTEM权限运行，攻击者同样可获得高权限的控制。
二、影响范围
三、安全措施
3.1 升级版本
下载链接：https://www.wftpserver.com/zh/download.htm/
3.2 临时措施
暂无。
3.3 通用建议
•启用强密码策略并设置为定期修改。
京公网安备11010802024551号