Progress Software - CVE-2026-84295
Date de publication :
Il s’agit d’une vulnérabilité dans WS_FTP Server sous Windows.
WS_FTP Server est un serveur de transfert de fichiers pour Windows. Il prend en charge les protocoles FTP, FTPS et SSH. Il propose aussi une interface d’administration web, un module de transfert web et un module de transfert ad hoc.
Le défaut est une authentification incorrecte. Des identifiants sont insuffisamment protégés, dont les identifiants administrateur. L’attaque s’effectue à distance par le réseau. La complexité d’attaque est faible. Aucune authentification n’est requise. Aucune interaction de l’utilisateur n’est nécessaire. Le vecteur de l’éditeur indique un changement de périmètre. Les composants impactés dépassent donc le composant vulnérable.
Elle permet à un attaquant non authentifié d’accéder à des informations sensibles, dont les identifiants administrateur.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Atteinte à la confidentialité des données
Exploitation
CWE-287 : Improper Authentication
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
WS_FTP Server versions antérieures à 2024.0.6 (branche 2024), sous Windows.
- WS_FTP Server versions antérieures à 2025.0.3 (branche 2025), sous Windows.
Solutions ou recommandations
• Branche 2025 : WS_FTP Server versions 2025.0.3 et supérieures.