CVE-2026-120491: fallo de gravedad media en Wing FTP Server
Wing FTP Server before 8.2.6 Stored XSS via nowpath in Legacy Activity Page
Publicada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
33Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 5.1epss 0.2%
de la publicación al arma4 días
Publicada en NVD2 nov
1ª PoC+4d
Wing FTP Server before 8.2.6 contains a stored cross-site scripting vulnerability that allows authenticated web-client users to inject script by sending a crafted nowpath parameter to webclient/makethumb.html. Attackers can break out of the directory CDATA section in admin_get_lastconn.html XML to forge a connection id, which executes in administrators' browsers when admin_connection_list.html auto-refreshes, enabling Lua console abuse.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
Productos afectados
Wing FTP Software · Wing FTP ServerPoCs públicas encontradas — 1
githubgithub.com/3jee/CVE-2026-120491★ 0⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.