Descripción
Una vulnerabilidad de recorrido de directorios (path traversal) en Progress Software WS_FTP Server, en versiones anteriores a 2024.0.7 y 2025.0.4 en Windows, podría permitir que un Host Administrator delegado acceda a ubicaciones fuera de su ámbito autorizado, lo que podría posibilitar la ejecución remota de código (RCE).
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- WS_FTP Server Afectadas: anteriores a 2024.0.7 · anteriores a 2025.0.4
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricanteprogress.lightning.force.com/lightning/r/Knowledge__kav/ka7Pb000001vl…
Ver el texto original en inglés (CVE.org)
Virtual Folder Path Confinement Bypass in Progress WS_FTP Server
A path traversal vulnerability in Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow a delegated Host Administrator to access locations outside their authorized scope, potentially enabling remote code execution.