Към съдържанието
Търсене

CVE-2026-39983: patrickjuchli basic-ftp, инжекция

8.6

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

basic-ftp is an FTP client for Node.js. Prior to 5.2.1, basic-ftp allows FTP command injection via CRLF sequences (\r\n) in file path parameters passed to high-level path APIs such as cd(), remove(), rename(), uploadFrom(), downloadTo(), list(), and removeDir(). The library's protectWhitespace() helper only handles leading spaces and returns other paths unchanged, while FtpContext.send() writes the resulting command string directly to the control socket with \r\n appended. This lets attacker-controlled path strings split one intended FTP command into multiple commands. This vulnerability is fixed in 5.2.1.

Засегнати продукти

  • patrickjuchli basic-ftp: < 5.2.1
  • Red Hat Red Hat Developer Hub 1.8: 1776784286 преди *
  • Red Hat Red Hat Developer Hub 1.9: 1777903262 преди *
  • Red Hat Red Hat OpenShift AI (RHOAI)
  • Red Hat Red Hat OpenShift Container Platform 4
  • Red Hat Self-service automation portal 2

Вид слабост

История

  • 9 април 2026 Публикувано

Други уязвимости в patrickjuchli basic-ftp

Първоизточници

CVE-2026-39983: patrickjuchli basic-ftp, инжекция | freedomonline.bg