Salto de Directorio (Path Traversal) y Ejecución Remota de Código en Wing FTP Server (CVE-2026-105420)

Se ha identificado una vulnerabilidad crítica de salto de directorio (Path Traversal, clasificada como CWE-22) en Wing FTP Server. El servidor no verifica correctamente la carpeta base del usuario, lo que permite que un atacante con privilegios administrativos agregue directorios de usuario mediante scripts y logre escapar del directorio raíz restringido.

Vector de Ataque: Remoto vía red; requiere privilegios administrativos iniciales en la aplicación para ejecutar scripts de adición de directorios fuera de los límites permitidos.

Impacto: Confidencialidad, integridad y disponibilidad altas. Permite escribir archivos arbitrarios en el sistema de archivos. Dado que las guías de instalación y despliegue a menudo indican ejecutar procesos con privilegios elevados (sudo), esto puede derivar directamente en ejecución remota de código (RCE) con privilegios de root.

Parches y Actualizaciones: actualizar inmediatamente Wing FTP Server a la versión 8.2.6 o superior, donde el problema ha sido resuelto.

Mitigaciones Temporales: restringir estrictamente el acceso a la consola de administración del servidor FTP únicamente a personal autorizado y redes internas de confianza.

Buenas Prácticas: evitar ejecutar el servicio de transferencia de archivos bajo cuentas con privilegios de superusuario (root/administrador absoluto) a menos que sea estrictamente necesario, aplicando el principio de mínimo privilegio.

https://nvd.nist.gov/vuln/detail/cve-2026-105420