CVE-2025-47812-Wing-FTP-Server-7.4.3-Unauthenticated-RCE-PoC

CVE-2025-47812 — Wing FTP Server Wing FTP Server = 7.4.3 中的未授权远程代码执行漏洞。在登录时向 username 参数注入 NULL 字节会导致 Lua 代码写入会话文件。当使用生成的会话 cookie 访问 /dir.html 时，注入的代码会被执行——在 Linux 上以 root 权限，在 Windows 上以 SYSTEM 权限。 工作原理 1. 构造一个 POST 请求到 /loginok.html，在 username 字段中注入一个 NULL 字节后跟 Lua 代码。 2. 服务器创建一个包含未清理的用户名（包括 L...