CVE-2025-46773
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Podatność typu SQL Injection (CWE-89) w Fortinet FortiAnalyzer w wersjach 7.6.0–7.6.4, 7.4.0–7.4.7, 7.2 (wszystkie wersje) oraz FortiAnalyzer Cloud 7.6.2–7.6.4, 7.4.1–7.4.7, 7.2.1–7.2.11 może pozwolić użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może wykonać dowolne polecenia w systemie FortiAnalyzer, co może prowadzić do eskalacji uprawnień i naruszenia danych.
Rekomendacja
Zaktualizuj FortiAnalyzer i FortiAnalyzer Cloud do najnowszej wersji zawierającej poprawkę dostarczoną przez Fortinet.
Inne podatności w FortiAnalyzer
Zobacz wszystkie- CVE-2026-84391Średnie
W Fortinet FortiAnalyzer w wersjach 7.6.3 do 7.6.6 występuje podatność polegająca na użyciu niezainicjalizowanej zmiennej, która może pozwolić atakującemu na spowodowanie odmowy usługi. Szczegóły wektora ataku nie zostały podane.
- CVE-2025-61848Wysokie
Podatność na wstrzyknięcie SQL w Fortinet FortiAnalyzer, FortiManager i powiązanych produktach (wymienione wersje) może pozwolić uprzywilejowanemu uwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń przez API JSON RPC.
- CVE-2025-54973Średnie
Podatność typu wyścig (race condition) w Fortinet FortiAnalyzer umożliwia atakującemu obejście autoryzacji FortiCloud SSO poprzez spreparowane żądania. Dotyczy wersji 7.0.0-7.0.13, 7.2.0-7.2.10, 7.4.0-7.4.6, 7.6.0-7.6.2.
Oryginalny opis (angielski, źródło NVD)
An Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability [CWE-89] vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.4, FortiAnalyzer 7.4.0 through 7.4.7, FortiAnalyzer 7.2 all versions, FortiAnalyzer Cloud 7.6.2 through 7.6.4, FortiAnalyzer Cloud 7.4.1 through 7.4.7, FortiAnalyzer Cloud 7.2.1 through 7.2.11 may allow a low privileged user to execute arbitrary commands via crafted requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS