PT-2026-37238 · Proftpd · Proftpd

Xs1Kveroa · Publicado 2026-05-05 · Atualizado 2026-05-13 · CVE-2026-44331

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas ProFTPD versões anteriores a 1.3.9a 7666224

Descrição Um problema de injeção de SQL existe na função sqltab fetch clients cb() em contrib/mod wrap2 sql.c. Quando a configuração "UseReverseDNS on" está habilitada, um invasor remoto pode injetar comandos SQL arbitrários por meio de um nome de domínio manipulado durante uma consulta de DNS reverso, pois o nome do host fornecido pelo invasor é passado para as consultas SQL sem a devida sanitização. A exploração deste problema pode ser afetada pelas restrições de caracteres inerentes aos nomes de DNS.

Recomendações Atualize para a versão 1.3.9a 7666224 ou posterior. Desabilite a configuração "UseReverseDNS" para evitar o processamento de consultas de DNS reverso.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BDU:2026-06340

CVE-2026-44331

OESA-2026-2264

OESA-2026-2265

OESA-2026-2266

OESA-2026-2267

OESA-2026-2268

Produtos afetados

Proftpd

Referências · 27

• https://github.com/NixOS/nixpkgs/pull/517211 · Nota
• https://github.com/proftpd/proftpd/issues/2057 · Nota
• https://github.com/proftpd/proftpd/commit/766622456440fbca33abd7927c523673a11d1ed1 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-44331 · Aviso do Fabricante
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-2265 · Nota
• https://osv.dev/vulnerability/OESA-2026-2265 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42167 · Nota de Segurança
• https://twitter.com/integ_sec/status/2054574953400316148 · Publicação no Twitter
• https://t.me/CSIRT_italia/3476 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2026-44331 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2051769799219302473 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2026-44331 · Aviso do Fabricante
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-2268 · Nota
• https://osv.dev/vulnerability/OESA-2026-2266 · Aviso do Fabricante
• https://t.me/CSIRT_italia/3455 · Publicação no Telegram