CVE-2026-90863 Escalada de privilegios por falta de autorización en WS_FTP Manager
La falta de autorización en la interfaz administrativa de Progress Software WS_FTP Server en Windows permitiría a un Host Administrator delegado exceder su alcance autorizado, lo que podría habilitar la ejecución arbitraria de comandos con privilegios elevados y el compromiso total del servidor. Afecta versiones anteriores a 2024.0.7 y 2025.0.4.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,7 % · percentil 51
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Progress Software WS_FTP Server
hasta antes de 2024.0.7hasta antes de 2025.0.4
Qué hacer
- Verificá si usás WS_FTP Server y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
Missing authorization in the administrative interface of Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to exceed their authorized scope, potentially enabling arbitrary command execution with elevated privileges and complete compromise of the underlying server.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.