CVE-2026-120491: XSS Stored in Wing FTP Server Admin

Il CVE-2026-120491 è una vulnerabilità di stored cross-site scripting (XSS) in Wing FTP Server prima della versione 8.2.6. La falla risiede nel parametro nowpath della pagina webclient/makethumb.html e consente agli utenti FTP autenticati di iniettare script JavaScript che viene salvato nel database. Quando gli amministratori visitano la pagina admin_connection_list.html (che si auto-aggiorna), lo script injettato si esegue nel contesto del loro browser, compromettendo la gestione delle connessioni FTP.

Il punteggio CVSS è 5,4 (medium), ma la vulnerabilità consente un percorso di escalation serio: un utente FTP ordinario inietta codice che si esegue nel browser dell'amministratore, abusando della Lua console integrata per ottenere code execution direttamente sul server. La patch è disponibile da subito (versione 8.2.6), ma il segnale su GitHub del 2026-11-06 indica che il codice di sfruttamento è già documentato pubblicamente, aumentando il rischio di sfruttamento attivo.

I team IT devono inventariare immediatamente tutti i sistemi Wing FTP Server e aggiornare a versione 8.2.6 o successiva senza ritardo. È consigliabile aumentare il monitoraggio degli accessi alla console amministrativa e dei browser logs degli admin per rilevare tentativi di injection XSS. Rivedere le configurazioni della Lua console limitando i permessi di esecuzione al minimo necessario e verificando i diritti degli utenti FTP autenticati.