CVE-2026-126346

Nome do Software Vulnerável e Versões Afetadas basic-ftp versões anteriores a 6.2.3

Description Existe um problema onde a função FTPContext.send() gera um erro quando um comando contém caracteres de retorno de carro, alimentação de linha ou NUL. Em certos cenários, essas chamadas são executadas sincronicamente dentro do evento de dados do socket de controle sem um limite de exceção, fazendo com que o erro escape do tratamento de erro de promessa padrão e encerre o processo Node.js. Isso pode levar a uma negação de serviço se um aplicativo passar entradas não confiáveis como senha de FTP em Client.login() ou como um caminho remoto durante um download retomado em downloadTo(). Especificamente, uma senha influenciada por um invasor atinge o comando PASS após uma resposta 331, e um caminho remoto influenciado por um invasor atinge o comando RETR após uma resposta 350 para REST. Embora uma guarda de validação evite a injeção de comandos, a exceção não capturada resultante trava todo o processo.

Recommendations Atualize o basic-ftp para a versão 6.2.3. Como mitigação temporária, evite passar valores não confiáveis ou influenciados pelo usuário como a senha de FTP ou o caminho remoto para downloads.