Wing FTP Server Lua Injection Vulnerability

漏洞信息

漏洞名称： Wing FTP Server Lua Injection Vulnerability

漏洞编号：

• CVE： CVE-2025-47812

漏洞类型： 代码注入

漏洞等级： 严重

漏洞描述： Wing FTP Server是一款广泛使用的FTP服务器软件，支持Windows和Linux平台，常用于企业文件传输服务。该软件因其易用性和功能丰富性，在企业环境中部署较为广泛。此次发现的漏洞允许攻击者通过注入Lua代码实现远程命令执行，影响严重。

漏洞的具体原因在于Wing FTP Server在处理登录输入时，对\0（空字节）的处理不当，导致攻击者可以通过用户或管理员Web界面将任意Lua代码注入到会话文件中。这一漏洞可以被利用来在底层操作系统上执行系统命令。特别值得注意的是，如果匿名登录被启用，攻击者可以在未经认证的情况下利用此漏洞。

此漏洞的影响极为严重，攻击者可以利用它实现远程代码执行（RCE），并且执行的环境为SYSTEM或root权限，这意味着攻击者可以完全控制受影响的系统。此外，由于漏洞可以被未经认证的用户利用，且支持通过代理进行攻击，其潜在的攻击范围和危害性大大增加。攻击者可以通过构造特定的用户名参数触发Lua注入，进而通过dir.html文件泄露的UID提取命令执行结果，实现信息的泄露或进一步的系统入侵。

产品厂商： Wing FTP Server

产品名称： Wing FTP Server

影响版本： version < 7.4.4

来源： https://github.com/r0otk3r/CVE-2025-47812

类型： CVE-2025:github search

仓库文件

• README.md

来源概述

CVE-2025-47812 – Wing FTP Server RCE Exploit

Exploit Title: Wing FTP Server < 7.4.4 Remote Code Execution via Lua Injection
CVE: CVE-2025-47812
Author: r0otk3r
Tested on: Wing FTP Server v7.3.x (Windows/Linux)
Impact: Remote Code Execution (RCE) as SYSTEM/root
Severity: Critical

---

Description

A vulnerability in Wing FTP Server’s handling of \0 (null byte) in login input allows an attacker to inject arbitrary Lua code into session files via the user or admin web interface. This can be leveraged to execute system commands on the underlying OS.

• Works unauthenticated if anonymous login is enabled.
• Lua injection is triggered via the username parameter.
• Command output is extracted from dir.html using leaked UID.

---

Features

• Remote command execution
• Interactive shell (-i)
• Anonymous access support
• Proxy support (--proxy)
• Custom credentials
• Clean, readable output

---

Usage

python3 wingftp_cve_2025_47812.py [-h] [-u URL] [--list LIST] [-c COMMAND] [-U USERNAME] [-P PASSWORD] [--proxy PROXY] [-v] [-i]

Example

python3 wingftp_cve_2025_47812.py -u "http://192.168.1.10" -c "whoami" -U anonymous -P password --proxy "http://127.0.0.1:8080" -v -i

⚠️ Disclaimer

This exploit is provided for educational purposes and authorized testing only.
Usage against systems without explicit permission is illegal and unethical.

Official Channels

• YouTube @rootctf
• X @r0otk3r