CVE-2025-64156
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W Fortinet FortiVoice w wersjach 7.2.0 do 7.2.2, 7.0.0 do 7.0.7, 6.4 wszystkich oraz 6.0 wszystkich występuje podatność typu SQL Injection wynikająca z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Uwierzytelniony uprzywilejowany atakujący może wykonać nieautoryzowany kod lub polecenia za pomocą spreparowanych żądań.
Ocena ryzyka
Może to prowadzić do wykonania nieautoryzowanego kodu lub poleceń, co może skutkować przejęciem kontroli nad systemem lub wyciekiem danych.
Rekomendacja
Należy zaktualizować FortiVoice do najnowszej wersji zawierającej poprawki bezpieczeństwa dostarczone przez Fortinet.
Inne podatności w FortiVoice
Zobacz wszystkie- CVE-2025-60024Wysokie
Wiele podatności typu Path Traversal (CWE-22) w Fortinet FortiVoice 7.2.0 do 7.2.2 oraz 7.0.0 do 7.0.7 może pozwolić uprzywilejowanemu uwierzytelnionemu atakującemu na zapis dowolnych plików poprzez specjalnie spreparowane polecenia HTTP lub HTTPS.
- CVE-2025-47856Wysokie
W Fortinet FortiVoice w wersjach 7.2.0, 7.0.0 do 7.0.6 oraz przed 6.4.10 występują dwie podatności na wstrzykiwanie poleceń systemu operacyjnego (CWE-78). Uprzywilejowany atakujący może wykonać dowolny kod lub polecenia poprzez spreparowane żądania HTTP/HTTPS lub CLI.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of special elements used in an sql command ('sql injection') vulnerability in Fortinet FortiVoice 7.2.0 through 7.2.2, FortiVoice 7.0.0 through 7.0.7, FortiVoice 6.4 all versions, FortiVoice 6.0 all versions may allow an authenticated privileged attacker to execute unauthorized code or commands via crafted requests
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS