- ひとことでWing FTP Server で、エラー表示からインストール先の場所が漏れる弱点です。
- 深刻度4.3 警告CVSS v3.1
- まずやることWing FTP Serverのバージョンを確かめる
基本情報（データから表示）
| CVE番号 | CVE-2025-47813 |
|---|---|
| 製品 | Wing FTP Server Wing FTP Server |
| 深刻度（CVSS） | 4.3 警告CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
| KEVへの追加日 | 2026-03-16 |
| 米国政府機関の対応期限 | 2026-03-30 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-209（機密情報を含むエラーメッセージの生成） |
何が起きた
ファイルをやり取りするためのサーバーソフト Wing FTP Server に、UID という Cookie に長い値を入れると、エラーの表示からアプリのインストール先の場所（フォルダーのパス）が分かってしまう弱点が見つかり、実際に悪用が確認されています。NVD に登録された他の機関の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が、利用者の操作なしに悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Wing FTP Server の 7.4.4 より前を使っている組織が影響を受けます。
何をすればいい
Wing FTP Server の公式の案内を確認し、7.4.4 以降に更新してください。メーカーの更新履歴では、7.4.4 で、この情報漏れのほか、ログイン済みの状態からの遠隔コード実行のおそれがある弱点も修正されています。すぐに更新できない場合は、CISA の推奨に沿って、使用の中止も検討しましょう。
やることチェックリスト
- Wing FTP Serverのバージョンを確かめる
- Wing FTP Serverを7.4.4以降に更新する
- 更新できない場合は使用を中止する
用語メモ
- Cookie 用語集で見る
- Web サイトがブラウザーに保存させる小さなデータで、ログイン状態の管理などに使われます。
- パス
- ファイルやフォルダーがコンピューターのどこにあるかを示す道順のような文字列です。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Wing FTP Server Information Disclosure Vulnerability
概要
Wing FTP Server contains a generation of error message containing sensitive information vulnerability when using a long value in the UID cookie.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る