Критический

Опубликована

CVE-2026-90863

Privilege Escalation via Missing Authorization in WS_FTP Manager

Публикация: 29.10.2026·Обновлена: 30.10.2026, 20:18·Europe/Moscow

Что произошло

Перевод ещё не доступен · оригинальное описание

Missing authorization in the administrative interface of Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to exceed their authorized scope, potentially enabling arbitrary command execution with elevated privileges and complete compromise of the underlying server.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Сформировано автоматически из полей источников и общих шаблонов

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

Limit delegation of the Host Administrator role to trusted staff, and review existing Host Administrator accounts and their setting's scope and permissions. Contact Progress Software Technical Support for guidance on available mitigations.

CVE Record: ProgressSoftware ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Progress Software / WS_FTP Server

{
  "status": "affected",
  "version": "0",
  "lessThan": "2024.0.7",
  "versionType": "custom"
}

{
  "status": "affected",
  "version": "0",
  "lessThan": "2025.0.4",
  "versionType": "custom"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиивысокие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

CVSS 3.1 · security@progress.com9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиивысокие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

CVSS 3.1 · ghsa9.1

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиивысокие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

Классы CWE

CWE-915 ↗CWE-862 ↗

Источники и ссылки

Бюллетень вендора · progress.lightning.force.com · cve Материал · nvd.nist.gov · ghsa Материал · github.com · ghsa CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-10-31T09:00:15.264793+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:11.292590+00:00"
  },
  "scores": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:11.292590+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:11.292590+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-10-31T09:00:15.264793+00:00"
  },
  "references": [
    "cve",
    "ghsa",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-30T17:46:11.292590+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены31.10.2026, 12:00
Данные обновлены29.10.2026, 21:37
Данные обновлены29.10.2026, 19:45
Опубликована29.10.2026, 18:53

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2026-84295 Improper Authentication in Progress WS_FTP Server Progress Software / WS_FTP Server	Критический	10.0	0,55 %	29.10.2026
CVE-2026-84296 SSH Multi-Factor Authentication Bypass in Progress WS_FTP Server Progress Software / WS_FTP Server	Средний	6.8	0,34 %	29.10.2026
CVE-2026-90861 Password Disclosure via Activity Logs Enabling Administrator Privilege Escalation in WS_FTP Server Progress Software / WS_FTP Server	Средний	6.6	0,31 %	29.10.2026
CVE-2026-90864 Host Administrator Path Containment Bypass in Progress WS_FTP Server Progress Software / WS_FTP Server	Критический	9.1	0,48 %	29.10.2026
CVE-2026-90865 Command Injection via FTP Notification Variables in Progress WS_FTP Server Progress Software / WS_FTP Server	Критический	9.0	1,14 %	29.10.2026