CVE-2026-39983 in basic-ftp
요약
\~에 의해 VulDB • 2026. 05. 19.
basic-ftp는 Node.js용 FTP 클라이언트입니다. 5.2.1 버전 이전의 basic-ftp는 cd(), remove(), rename(), uploadFrom(), downloadTo(), list(), removeDir()과 같은 고수준 경로 API에 전달되는 파일 경로 매개변수 내의 CRLF 시퀀스(\r\n)를 통해 FTP 명령어 인젝션이 가능합니다. 라이브러리의 protectWhitespace() 헬퍼 함수는 선행 공백만 처리하고 다른 경로는 변경 없이 반환하며, FtpContext.send()는 생성된 명령어 문자열을 \r\n을 붙여 제어 소켓에 직접 작성합니다. 이로 인해 공격자가 제어하는 경로 문자열이 하나의 의도된 FTP 명령어를 여러 명령어로 분할할 수 있습니다. 이 취약점은 5.2.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.