Wing FTP Server before 8.2.6 Stored XSS via nowpath in Legacy Activity Page

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Wing FTP Server before 8.2.6 contains a stored cross-site scripting vulnerability that allows authenticated web-client users to inject script by sending a crafted nowpath parameter to webclient/makethumb.html. Attackers can break out of the directory CDATA section in admin_get_lastconn.html XML to forge a connection id, which executes in administrators' browsers when admin_connection_list.html auto-refreshes, enabling Lua console abuse.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• wftpserver.com/serverhistory.htm Üretici bülteni
• vulncheck.com/…stored-xss-via-nowpath-in-legacy-activity-page Üçüncü taraf

Kayıt geçmişi

1. 2 Kas 2026 17:29Yayımlandı

İlgili açıklar

• 4,3 CVE-2026-120597Welcart e-Commerce Plugin paymentESCOTT.main.class.php error_page_message cross site scripting
• 5,0 CVE-2026-120497Stored cross-site scripting in the HTML report generator of aidlc-traceability in AWS AI-DLC Workflows
• 5,4 CVE-2026-119735Munshi XSS via Purchase Inquiry Thread Rendering
• 8,4 CVE-2026-111048FOSSBilling destek talebi notlarında depolanmış XSS açığı
• 6,1 CVE-2026-120500An Otter Wiki before 2.26.2 Stored XSS via Math Code Block
• 6,1 CVE-2026-2102XSS in wrensec-commons CREST framework HTTP binding via _mimeType parameter