CVE-2025-53681

WysokieCVSS 7.2

Opublikowano: 12/05/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

W podatności CVE-2025-53681 w Fortinet FortiMail (wersje 7.6.0 do 7.6.3, 7.4.0 do 7.4.5 oraz 7.2.0 do 7.2.8) występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach SQL, co pozwala uwierzytelnionemu atakującemu z uprawnieniami na wykonanie nieautoryzowanego kodu lub poleceń poprzez odpowiednio skonstruowane żądania HTTP lub HTTPS.

Ocena ryzyka

Atakujący z odpowiednimi uprawnieniami może wykorzystać tę podatność do przejęcia kontroli nad systemem, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.

Rekomendacja

Zaleca się aktualizację FortiMail do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.

Inne podatności w Fortinet FortiMail

CVE-2025-54972Średnie
Fortinet FortiMail (wersje 7.6.0–7.6.3, 7.4.0–7.4.5, 7.2 wszystkie wersje, 7.0 wszystkie wersje) zawiera podatność CRLF injection polegającą na niewłaściwej neutralizacji sekwencji CRLF. Atakujący może wstrzyknąć nagłówki do odpowiedzi, nakłaniając użytkownika do kliknięcia specjalnie spreparowanego linku.

Oryginalny opis (angielski, źródło NVD)

An improper neutralization of special elements used in an SQL Command ("SQL Injection&") vulnerability [CWE-89] vulnerability in Fortinet FortiMail 7.6.0 through 7.6.3, FortiMail 7.4.0 through 7.4.5, FortiMail 7.2.0 through 7.2.8 allows an authenticated privileged attacker to execute unauthorized code or commands via specifically crafted HTTP or HTTPS requests.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS