Server-Side Script Injection in Manager Web UI in Progress WS_FTP Server

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Improper neutralization of directives in dynamically evaluated code in the Manager web console of Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow an authenticated Manager administrator to execute arbitrary commands with the privileges of the WS_FTP Server IIS worker process.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• progress.lightning.force.com/…tning/r/Knowledge__kav/ka7Pb000001vl86IAA/view Üretici bülteni

Kayıt geçmişi

1. 29 Eki 2026 18:57Yayımlandı

İlgili açıklar

• 5,3 CVE-2026-90871Path Traversal Leading to File Deletion in Ad Hoc Transfer and Web Transfer in Progress WS_FTP Server
• 5,3 CVE-2026-90870Unauthenticated Ad Hoc Transfer Resource Exhaustion in Progress WS_FTP Server
• 7,5 CVE-2026-90869WS_FTP Server'da kimlik doğrulama öncesi SSH hizmet reddi (DoS) açığı
• 9,9 CVE-2026-90868Progress WS_FTP Server'da işletim sistemi komut enjeksiyonu açığı
• 8,1 CVE-2026-90867WS_FTP Server Web Yönetim Konsolunda Yetersiz Erişim Denetimi
• 9,1 CVE-2026-90866WS_FTP Server'da sanal klasör yol sınırlandırması aşımı (yol geçişi)