Kerngegevens
- Leverancier
- Progress
- Product
- WS FTP Server
- Soort software
- bestandsoverdracht
- Getroffen versies
- WS FTP Server 2024-reeks vóór 2024.0.7; 2025-reeks vóór 2025.0.4 (Windows)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WS FTP Server 2024.0.7
- WS FTP Server 2025.0.4
- CVE gepubliceerd
- 29 oktober 2026
- Gepubliceerd op LekkenRadar
- 29 oktober 2026
- Laatst gewijzigd bij NVD
- 29 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In WS_FTP Server van Progress Software op Windows zit een fout waarmee een gedelegeerde Host Administrator buiten de eigen toegestane omgeving kan komen. Zo'n beheerder kan dan bij locaties op de server waar hij niet bij hoort. Volgens de leverancier kan dit in het ergste geval leiden tot het op afstand uitvoeren van code. In de gegevens staat geen aanwijzing dat het lek actief wordt misbruikt.
Wie loopt risico?
Je loopt risico als je WS_FTP Server op Windows draait in een versie ouder dan 2024.0.7 of 2025.0.4. Een aanvaller heeft wel een account nodig als gedelegeerde Host Administrator, bijvoorbeeld via gestolen inloggegevens of een kwaadwillende beheerder. Vooral omgevingen waar beheer is verdeeld over meerdere partijen of klanten, zijn dan extra gevoelig.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van WS_FTP Server je op Windows gebruikt. Versies voor 2024.0.7 en voor 2025.0.4 zijn getroffen.
Werk WS_FTP Server bij
Installeer 2024.0.7 als je de 2024-reeks gebruikt, of 2025.0.4 als je de 2025-reeks gebruikt.
Beperk beheerrechten
Controleer wie Host Administrator-rechten heeft en verwijder accounts die dit niet nodig hebben. Gebruik sterke wachtwoorden en, waar mogelijk, extra verificatie.
Beperk de blootstelling
Zorg dat het beheergedeelte van de server niet onnodig vanaf internet bereikbaar is, totdat de update is geïnstalleerd.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-90864, een vergelijkbare padtraversal, en CVE-2026-90862, CVE-2026-90863, CVE-2026-90865, CVE-2026-90867, CVE-2026-90868 en CVE-2026-90869, plus de eerder opgeloste CVE-2026-84294 en CVE-2026-84295.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om een padtraversal-kwetsbaarheid (CWE-22) in WS_FTP Server op Windows. Door onvoldoende beperking van padnamen kan een gedelegeerde Host Administrator toegang krijgen tot locaties buiten de toegekende scope. Dat kan leiden tot het op afstand uitvoeren van code. De aanval verloopt via het netwerk, is niet complex en vereist geen interactie van een gebruiker, maar wel hoge rechten. De scope verandert bij misbruik, waardoor vertrouwelijkheid, integriteit en beschikbaarheid sterk kunnen worden geraakt. De CVSS 3.1-score van 9,1 komt van de CNA.
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-22 · Padtraversal (onjuiste beperking van een pad tot een afgeschermde map)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,7%
- Aanvalscode openbaar
- Nee