超危

Wing FTP Server远程代码执行漏洞(CVE-2025-47812)

2025-07-10 00:00:00 公开，2026-03-04 01:51:06 更新

CISA KEV
关键漏洞
远程
无需认证
公开PoC

CWEs：: CWE-158 （Improper Neutralization of Null Byte or NUL Character）
CAPEC：: CAPEC-52 （Embedding NULL Bytes）、 CAPEC-53 （Postfix, Null Terminate, and Backslash）
SSVC：: 可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2025-07-17 11:55:37

风险信息

CVSS v3.1 向量: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS v3.1 风险值: 10

详细信息

漏洞类型: 其他
漏洞描述: Wing FTP服务器7.4.4之前版本用户和管理Web界面存在对空字节（NUL 字符）处理不当的漏洞，攻击者可借此向用户会话文件注入任意Lua代码。该漏洞可用于以 FTP 服务权限（默认root或SYSTEM）执行任意系统命令。也可以通过匿名FTP帐户进行利用。
修复建议: 升级到Wing FTP服务器7.4.4或更高版本。参考链接： https://www.wftpserver.com

参考链接

https://www.rcesecurity.com/2025/06/what-the-null-wing-ftp-server-rce-cve-2025-47812/
CVE · Exploit · Third Party Advisory
https://www.wftpserver.com
CVE · Broken Link
https://nvd.nist.gov/vuln/detail/CVE-2025-47812
CNNVD
https://www.exploit-db.com/exploits/52347
CNNVD
https://www.huntress.com/blog/wing-ftp-server-remote-code-execution-cve-2025-47812-exploited-in-wild
NVD · Exploit · Third Party Advisory
https://www.vicarius.io/vsociety/posts/cve-2025-47812-mitigation-script-remote-code-execution-vulnerability-in-wing-ftp-server
CVE · Mitigation · Third Party Advisory
https://www.vicarius.io/vsociety/posts/cve-2025-47812-detection-script-remote-code-execution-vulnerability-in-wing-ftp-server
CVE · Third Party Advisory
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-47812
NVD · US Government Resource