CVE catalog

CVE-2026-42167

mod_sql in ProFTPD before 1.3.9a allows remote attackers to execute arbitrary code via a username, in scenarios where there is logging of USER requests with an expansion such as %U, and the SQL backen

[CVE catalog]

Severity
High · CVSS 8.1CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Published
Source
[NVD] · [CVE record]
EPSS
7.39% · Oct 25, 2026

mod_sql in ProFTPD before 1.3.9a allows remote attackers to execute arbitrary code via a username, in scenarios where there is logging of USER requests with an expansion such as %U, and the SQL backend allows commands (e.g., COPY TO PROGRAM).

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianproftpd-dfsgsid1.3.9e~dfsg-1fixed
Debianproftpd-dfsgforky1.3.9d~dfsg-1fixed
Debianproftpd-dfsgtrixie1.3.8.c+dfsg-4+deb13u3fixed
Debianproftpd-dfsgbookworm1.3.8+dfsg-4+deb12u5fixed
Debianproftpd-dfsgbookworm-security1.3.8+dfsg-4+deb12u4vulnerable
CpeproftpdNot reportedNot reportedunknown
Opensuseproftpdtumbleweed1.3.9c-1.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianproftpd-dfsgsourcesid1.3.9~dfsg-5not yet assignedNot reported[1135119]
Debianproftpd-dfsgsourceforky1.3.9~dfsg-5not yet assignedNot reported[1135119]
Debianproftpd-dfsgsourcetrixie1.3.8.c+dfsg-4+deb13u2not yet assignedNot reported[1135119]
Debianproftpd-dfsgsourcebookworm1.3.8+dfsg-4+deb12u5not yet assignedNot reported[1135119]
Opensuseproftpdrpmtumbleweed1.3.9c-1.1Not reportedOPENSUSE-SU-2026:11352-1Not reported

[Debian bug #1135119]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [proftpd-basic]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · all · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · all · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · all · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · all · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-core]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-dev]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-doc]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · all · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · all · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · all · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · all · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-crypto]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-geoip]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-ldap]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-mysql]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-odbc]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-pgsql]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-snmp]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-sqlite]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

  • [proftpd-mod-wrap]Affected

    Source package: [proftpd-dfsg]

    Details (4)

    • 1.3.8+dfsg-4+deb12u5 · amd64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u5 · arm64 · bookworm

      Fixed · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · amd64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

    • 1.3.8+dfsg-4+deb12u4 · arm64 · bookworm-security

      Affected · Fixed: 1.3.8+dfsg-4+deb12u5

      nvd · proftpd-dfsg · debian · bookworm; nvd · proftpd-dfsg · debian · 12

[openSUSE Tumbleweed]

  • [proftpd-devel]Unknown

    Source package: [proftpd]

    Details (1)

    • 1.3.9c-1.2 · x86_64 · tumbleweed

      Unknown · Fixed: 1.3.9c-1.1

      Version impact unknown

      nvd · proftpd · opensuse · tumbleweed

  • [proftpd-doc]Unknown

    Source package: [proftpd]

    Details (1)

    • 1.3.9c-1.2 · x86_64 · tumbleweed

      Unknown · Fixed: 1.3.9c-1.1

      Version impact unknown

      nvd · proftpd · opensuse · tumbleweed

  • [proftpd-lang]Unknown

    Source package: [proftpd]

    Details (1)

    • 1.3.9c-1.2 · noarch · tumbleweed

      Unknown · Fixed: 1.3.9c-1.1

      Version impact unknown

      nvd · proftpd · opensuse · tumbleweed

  • [proftpd-ldap]Unknown

    Source package: [proftpd]

    Details (1)

    • 1.3.9c-1.2 · x86_64 · tumbleweed

      Unknown · Fixed: 1.3.9c-1.1

      Version impact unknown

      nvd · proftpd · opensuse · tumbleweed

  • [proftpd-mysql]Unknown

    Source package: [proftpd]

    Details (1)

    • 1.3.9c-1.2 · x86_64 · tumbleweed

      Unknown · Fixed: 1.3.9c-1.1

      Version impact unknown

      nvd · proftpd · opensuse · tumbleweed

  • [proftpd-pgsql]Unknown

    Source package: [proftpd]

    Details (1)

    • 1.3.9c-1.2 · x86_64 · tumbleweed

      Unknown · Fixed: 1.3.9c-1.1

      Version impact unknown

      nvd · proftpd · opensuse · tumbleweed

  • [proftpd-radius]Unknown

    Source package: [proftpd]

    Details (1)

    • 1.3.9c-1.2 · x86_64 · tumbleweed

      Unknown · Fixed: 1.3.9c-1.1

      Version impact unknown

      nvd · proftpd · opensuse · tumbleweed

Next results

Observed:

References

[CERT-Bund public advisories] · [Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX]