- Yama var
- Son 7 gün
- CWE-22
- CWE-434
CVE-2026-90866
WS_FTP Server'da sanal klasör yol sınırlandırması aşımı (yol geçişi)
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- ProgressSoftware
Yönetici özeti
Bu açık, dosya transfer sunucusunda yetki sınırlarının aşılmasına izin verebilir ve sunucunun tamamının ele geçirilme riskini doğurur. Yetkili kullanıcıların hatası ya da kötü niyeti iş sürekliliğini ve veri güvenliğini tehlikeye atabilir. Etkilenen sürümler için güncelleme veya vendor yönergelerinin hemen uygulanması önerilir.
ÖzetTürkçe
WS_FTP Server'ın Windows üzerinde çalışan 2024.0.7 öncesi ve 2025.0.4 öncesi sürümlerinde yol geçişi (path traversal) açığı bulunmaktadır. Açık, temsilci Host Administrator yetkisine sahip bir kullanıcının kendisine tanınan kapsam dışındaki konumlara erişmesine izin verebilir. Etkilenen sistemler, bu yetkilendirmeyi kullanan sunucu yöneticileri ve hizmet sağlayıcılardır.
Saldırgan ne yapabilir?
Saldırgan, yetkili kapsamının dışındaki dosya sistemi konumlarına erişebilir ve bu durum uzaktan kod çalıştırmaya yol açabilir. Etki kapsamı sunucunun tamamına yayılabilir (CVSS: 9.1, kritik).
Kaynaktaki açıklama (İngilizce)
A path traversal vulnerability in Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to access locations outside their authorized scope, potentially enabling remote code execution.
Üreticinin geçici önlemi (İngilizce)
Limit delegation of Host Administrator privileges to trusted staff, and periodically audit virtual folder physical paths to confirm they remain within their assigned host root. Contact Progress Software Technical Support for guidance on available mitigations.
Ne yapmalı?
- Üretici tarafından belirtilen düzeltilmiş sürümlere geçin: 2024.0.7 veya 2025.0.4 (kendi dal sürümünüze uygun olanı). Üretici
- Güncelleme uygulanamıyorsa, Host Administrator yetkisini yalnızca güvenilir personele verin ve bu yetkiyi gereksiz kullanıcılardan kaldırın. Üretici
- Sanal klasörlerin fiziksel yollarını düzenli olarak denetleyin ve her birinin atanmış host kök dizini içinde kaldığını doğrulayın. Üretici
- Ek önlemler için Progress Software Teknik Destek ekibiyle iletişime geçin. Üretici
Ek önlemler
- Host Administrator yetkisine sahip hesapların erişim kayıtlarını izleyin ve olağandışı dosya erişimlerini inceleyin. Genel öneri
- Sunucu hizmet hesabına yalnızca gerekli dizinlerde yetki verilerek en az ayrıcalık ilkesini uygulayın. Genel öneri
- Sunucunun dış ağa açık yüzeyini azaltın ve yönetim arayüzlerine erişimi kısıtlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progress Software WS_FTP Server | < 2024.0.7 | 2024.0.7 |
| < 2025.0.4 | 2025.0.4 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.