Descripción
Una autorización ausente en la interfaz administrativa de Progress Software WS_FTP Server, en versiones anteriores a 2024.0.7 y 2025.0.4 en Windows, podría permitir que un Host Administrator delegado exceda su ámbito autorizado, lo que podría posibilitar la ejecución de comandos arbitrarios con privilegios elevados y el compromiso total del servidor subyacente.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- WS_FTP Server Afectadas: anteriores a 2024.0.7 · anteriores a 2025.0.4
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricanteprogress.lightning.force.com/lightning/r/Knowledge__kav/ka7Pb000001vl…
Ver el texto original en inglés (CVE.org)
Privilege Escalation via Missing Authorization in WS_FTP Manager
Missing authorization in the administrative interface of Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to exceed their authorized scope, potentially enabling arbitrary command execution with elevated privileges and complete compromise of the underlying server.