p PatchFirst

CVE-2026-39983

CVE-2026-39983 · FTP Command Injection via CRLF in basic-ftp

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

basic-ftp is an FTP client for Node.js. Prior to 5.2.1, basic-ftp allows FTP command injection via CRLF sequences (\r\n) in file path parameters passed to high-level path APIs such as cd(), remove(), rename(), uploadFrom(), downloadTo(), list(), and removeDir(). The library's protectWhitespace() helper only handles leading spaces and returns other paths unchanged, while FtpContext.send() writes the resulting command string directly to the control socket with \r\n appended. This lets attacker-controlled path strings split one intended FTP command into multiple commands. This vulnerability is fixed in 5.2.1.

CVSS 8.6 · Высокий · EPSS 2,2% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • basic-ftp

    Версии
    • < 5.2.1: Затронуто

    Нет опубликованного исправления

  • node-proxy-agents Debian:13

    Версии
    • 0~2024040606-6
    • 0~2024040606-6+deb13u1
    • 0~2025070717+~cs15.2.7-1
    • 0~2025070717+~cs15.3.7-1
    • 0~2025070717+~cs15.3.8-1
    • 0~2025070717+~cs15.3.8-2
    • 0~2025070717+~cs15.3.8-3
    • 0~2025070717+~cs16.2.9-1
    • 0~2025070717-1
    • 0~2025070717-2
    • 0~2025070717-3
    • 0~2025070717-4
    • 0~2025070717-5
    • 0~2025070717-6
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-proxy-agents Debian:14

    Версии
    • 0~2024040606-6
    • 0~2025070717+~cs15.2.7-1
    • 0~2025070717-1
    • 0~2025070717-2
    • 0~2025070717-3
    • 0~2025070717-4
    • 0~2025070717-5
    • 0~2025070717-6
    Затронутые диапазоны версий
    • ECOSYSTEM: < 0~2025070717+~cs15.3.7-1

    Обновитесь до 0~2025070717+~cs15.3.7-1

  • basic-ftp npm

    Версии
    • 5.2.0
    Затронутые диапазоны версий
    • SEMVER: ≥ 5.2.0, < 5.2.1

    Обновитесь до 5.2.1

  • node-proxy-agents Ubuntu:24.04:LTS

    Версии
    • 0~2023071921-5
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-proxy-agents Ubuntu:25.10

    Версии
    • 0~2024040606-5
    • 0~2024040606-6
    • 0~2025070717-1
    • 0~2025070717-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-proxy-agents Ubuntu:26.10

    Версии
    • 0~2025070717+~cs15.2.7-1build1
    • 0~2025070717+~cs15.3.8-1
    • 0~2025070717+~cs15.3.8-2
    • 0~2025070717+~cs15.3.8-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-proxy-agents Ubuntu:26.04:LTS

    Версии
    • 0~2025070717-2
    • 0~2025070717-6
    • 0~2025070717+~cs15.2.7-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →