CVE-2025-47856
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 70 - wyżej niż 70% wszystkich znanych CVE
Streszczenie
W Fortinet FortiVoice w wersjach 7.2.0, 7.0.0 do 7.0.6 oraz przed 6.4.10 występują dwie podatności na wstrzykiwanie poleceń systemu operacyjnego (CWE-78). Uprzywilejowany atakujący może wykonać dowolny kod lub polecenia poprzez spreparowane żądania HTTP/HTTPS lub CLI.
Ocena ryzyka
Ryzyko polega na możliwości pełnego przejęcia systemu FortiVoice przez uprzywilejowanego użytkownika, co może prowadzić do naruszenia poufności i integralności danych oraz zakłócenia działania usług.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie FortiVoice do wersji, w której podatność została naprawiona, oraz ograniczenie dostępu do interfejsów zarządzania.
Inne podatności w FortiVoice
Zobacz wszystkie- CVE-2025-64156Wysokie
W Fortinet FortiVoice w wersjach 7.2.0 do 7.2.2, 7.0.0 do 7.0.7, 6.4 wszystkich oraz 6.0 wszystkich występuje podatność typu SQL Injection wynikająca z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Uwierzytelniony uprzywilejowany atakujący może wykonać nieautoryzowany kod lub polecenia za pomocą spreparowanych żądań.
- CVE-2025-60024Wysokie
Wiele podatności typu Path Traversal (CWE-22) w Fortinet FortiVoice 7.2.0 do 7.2.2 oraz 7.0.0 do 7.0.7 może pozwolić uprzywilejowanemu uwierzytelnionemu atakującemu na zapis dowolnych plików poprzez specjalnie spreparowane polecenia HTTP lub HTTPS.
Oryginalny opis (angielski, źródło NVD)
Two improper neutralization of special elements used in an OS command ('OS Command Injection') vulnerabilities [CWE-78] in Fortinet FortiVoice version 7.2.0, 7.0.0 through 7.0.6 and before 6.4.10 allows a privileged attacker to execute arbitrary code or commands via crafted HTTP/HTTPS or CLI requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS