CVE-2025-58692
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność SQL Injection (CWE-89) w Fortinet FortiVoice w wersjach 7.2.0–7.2.2 oraz 7.0.0–7.0.7 pozwala uwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane żądania HTTP lub HTTPS.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia w kontekście aplikacji, co może prowadzić do naruszenia poufności, integralności i dostępności systemu telefonii. Może to skutkować dostępem do danych lub przejęciem kontroli nad systemem.
Rekomendacja
Zaktualizuj FortiVoice do wersji zawierającej poprawkę. Ogranicz dostęp do interfejsu administracyjnego i weryfikuj konta uprzywilejowane.
Inne podatności w FortiVoice
Zobacz wszystkie- CVE-2025-64156Wysokie
W Fortinet FortiVoice w wersjach 7.2.0 do 7.2.2, 7.0.0 do 7.0.7, 6.4 wszystkich oraz 6.0 wszystkich występuje podatność typu SQL Injection wynikająca z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Uwierzytelniony uprzywilejowany atakujący może wykonać nieautoryzowany kod lub polecenia za pomocą spreparowanych żądań.
- CVE-2025-60024Wysokie
Wiele podatności typu Path Traversal (CWE-22) w Fortinet FortiVoice 7.2.0 do 7.2.2 oraz 7.0.0 do 7.0.7 może pozwolić uprzywilejowanemu uwierzytelnionemu atakującemu na zapis dowolnych plików poprzez specjalnie spreparowane polecenia HTTP lub HTTPS.
- CVE-2025-47856Wysokie
W Fortinet FortiVoice w wersjach 7.2.0, 7.0.0 do 7.0.6 oraz przed 6.4.10 występują dwie podatności na wstrzykiwanie poleceń systemu operacyjnego (CWE-78). Uprzywilejowany atakujący może wykonać dowolny kod lub polecenia poprzez spreparowane żądania HTTP/HTTPS lub CLI.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of special elements used in an SQL Command ("SQL Injection") vulnerability [CWE-89] vulnerability in Fortinet FortiVoice 7.2.0 through 7.2.2, FortiVoice 7.0.0 through 7.0.7 allows an authenticated attacker to execute unauthorized code or commands via specifically crafted HTTP or HTTPS requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS