CVE-2026-44403-WingFTP-v8.1.2-POC-Exploit

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-ZEMARKHOS-CVE-2026-44403-WINGFTP-V8.1.2-POC-EXPLOIT
Wing FTP Server v8.1.2 содержит уязвимость удаленного выполнения кода (RCE) в механизме сериализации сессий. Аутентифицированный администратор может внедрить произвольный код Lua через поле `mydirectory` (basefolder) администратора домена, который выполняется на стороне сервера через `loadfile()`.

Это отдельная уязвимость от CVE-2025-47812. Исправление, примененное в v7.4.4 для CVE-2025-47812, затрагивало только вектор внедрения нулевого байта в поле имени пользователя. Основная небезопасная сериализация сессий не была исправлена и остается эксплуатируемой через поле basefolder администратора в v8.1.2.

Функция сериализации сессий `serialize()` в `SessionModule.lua` (строка 103) и `SessionModuleAdmin.lua` (строка 104) записывает строковые значения, используя нотацию длинных строк Lua `[[...]]`:

root@kitploit:~
    
    
    outf("_SESSION["..k.."]=[["..v.."]]\r\n")
    

Если значение сессии содержит `]]`, длинная строка преждевременно закрывается, а остальное содержимое интерпретируется как исполняемый код Lua.

Код санитизации скобок существует в `cgi.lua` (строки 274-275) и  (строки 277-278), но закомментирован: