CVE-2025-47813

Wing FTP Server, antes da versão 7.4.4, vaza o caminho completo de instalação local do servidor quando o endpoint /loginok.html recebe um cookie UID artificialmente longo. Isoladamente é uma disclosure de baixo impacto (CVSS 4.3, sem afetar integridade ou disponibilidade), mas importa porque funciona como peça de reconhecimento para outras falhas do mesmo produto — em especial a RCE pré-autenticação CVE-2025-47812 — e está no catálogo KEV da CISA por exploração confirmada em campo.

A falha é uma CWE-209 (Generation of Error Message Containing Sensitive Information). O script loginok.html, escrito em Lua, processa o cookie UID recebido do cliente para carregar ou criar uma sessão via SessionModule.load(_SESSION_ID). Quando o valor do cookie excede o tamanho máximo de caminho suportado pelo sistema operacional subjacente (MAX_PATH no Windows, PATH_MAX no Linux), a rotina de manipulação de sessão dispara uma mensagem de erro que inclui, sem sanitização, o caminho absoluto de instalação do Wing FTP Server no disco.

O atacante controla apenas um parâmetro: o valor do cookie UID enviado na requisição POST para /loginok.html. Não há validação de tamanho nem de formato desse valor antes que ele seja usado internamente pelo módulo de sessão, e o tratamento de erro resultante devolve informação de sistema de arquivos ao invés de uma mensagem genérica.

O vetor CVSS 3.1 fornecido (AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N) indica que é necessário nível de privilégio baixo — ou seja, uma sessão autenticada, mesmo que mínima — para acionar a falha; não é um endpoint totalmente anônimo por definição do CVSS. Na prática, como o Wing FTP permite login anônimo na interface web em configurações comuns, e esse login anônimo já é suficiente para obter um cookie UID válido, a barreira de autenticação é frequentemente trivial de superar.

Para explorar, o atacante precisa primeiro obter uma sessão válida — autenticação normal ou, em instalações que permitem, login anônimo na interface web, que usa o mesmo mecanismo de sessão do protocolo FTP. Com uma sessão estabelecida, ele envia uma requisição para /loginok.html com um valor de cookie UID muito maior que o limite de caminho do sistema operacional (a prova de conceito publicada usa uma string de centenas de bytes). A resposta do servidor então expõe o caminho absoluto de instalação (por exemplo, o diretório onde o binário wftpserver e seus arquivos Lua residem).

O valor prático dessa informação é servir de insumo para outras explorações que dependem de conhecer o caminho local — o pesquisador que publicou a falha explicitamente a associa como apoio para o CVE-2025-47812, uma RCE pré-autenticação baseada em bypass de autenticação via byte nulo no campo username, que junto compõe uma cadeia de comprometimento total do servidor.

Não há exploit funcional completo publicado além da prova de conceito de disclosure em si; existe template Nuclei para detecção automatizada. A presença no catálogo KEV da CISA confirma exploração ativa observada, embora a nota da CISA não classifique a falha como usada em campanhas de ransomware conhecidas.

A correção do fornecedor é atualizar para Wing FTP Server 7.4.4 ou posterior — essa é a única mitigação com origem confirmada pelo fornecedor e pelo pesquisador que reportou a falha.

Se a atualização não for possível de imediato, desabilitar login anônimo na interface web e no protocolo FTP reduz a superfície de exploração, já que elimina a forma mais barata de obter uma sessão válida sem credenciais reais. Restringir o acesso à interface web administrativa e de usuário a redes de confiança (VPN, allowlist de IP) também limita a exposição, mas é um controle compensatório, não uma correção — a falha em si permanece presente no software.

Filtrar por tamanho excessivo do header Cookie em um proxy ou WAF na frente do serviço pode bloquear a variante específica de exploração documentada, mas não corrige o problema subjacente na aplicação e pode ser contornado se o limite de corte não for calibrado corretamente. Não há mitigação client-side; a falha está inteiramente no processamento server-side de loginok.html.

Em logs de acesso web, procurar requisições POST para /loginok.html com header Cookie contendo um valor de UID anormalmente longo (centenas a milhares de caracteres, muito acima do tamanho típico de um identificador de sessão). Respostas do servidor que incluem caminhos de sistema de arquivos (ex: strings com 'Program Files', '/usr/', '/opt/' ou o diretório de instalação do Wing FTP) no corpo de erro são o indicador direto de exploração bem-sucedida.

Como essa falha frequentemente é usada em conjunto com a tentativa de bypass de autenticação via byte nulo (CVE-2025-47812), vale correlacionar com tentativas de login contendo caracteres nulos (%00) no campo username na mesma janela de tempo — a combinação das duas assinaturas é um sinal mais confiável de ataque direcionado do que qualquer uma isoladamente. Não há um IOC de rede único e definitivo além do tamanho do cookie, já que a exploração não deixa artefato persistente no servidor.