CVE-2025-57823
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Fortinet FortiAuthenticator w wersjach 6.6.0-6.6.6 oraz 6.5, 6.4, 6.3 (wszystkie wersje) ma podatność na bezpośrednie żądanie (forced browsing), która pozwala uwierzytelnionemu atakującemu z uprawnieniami co najmniej sponsora na odczyt i pobieranie logów urządzenia poprzez dostęp do określonych punktów końcowych.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego dostępu do wrażliwych logów urządzenia, co może prowadzić do ujawnienia informacji o użytkownikach, konfiguracji lub zdarzeniach bezpieczeństwa.
Rekomendacja
Zaleca się ograniczenie dostępu do określonych punktów końcowych, zastosowanie poprawek od producenta oraz przegląd uprawnień użytkowników.
Inne podatności w FortiAuthenticator
Zobacz wszystkie- CVE-2013-6990Wysokie
FortiAuthenticator w wersji przed 3.0 umożliwia zdalnym administratorom uzyskanie uprawnień poprzez interfejs wiersza poleceń.
- CVE-2025-53379Wysokie
Podatność poza zakresem odczytu w Fortinet FortiAuthenticator w wersjach 6.6.0 do 6.6.2 oraz we wszystkich wersjach 6.5 może umożliwić zdalnemu, nieuwierzytelnionemu atakującemu odczytanie wrażliwych informacji poprzez specjalnie spreparowane żądanie.
Oryginalny opis (angielski, źródło NVD)
A direct request ('forced browsing') vulnerability in Fortinet FortiAuthenticator 6.6.0 through 6.6.6, FortiAuthenticator 6.5 all versions, FortiAuthenticator 6.4 all versions, FortiAuthenticator 6.3 all versions may allow an authenticated attacker with at least sponsor permissions to read and download device logs via accessing specific endpoints
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS