Aktywnie wykorzystywana w atakach

Fortinet FortiWeb Path Traversal Vulnerability

Fortinet - FortiWeb · Figuruje w katalogu CISA KEV od 2025-11-14. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2025-64446

KrytyczneCVSS 9.8KEV

Opublikowano: 14/11/2025(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Podatność względnej ścieżki traversal w Fortinet FortiWeb w wielu wersjach (8.0.0-8.0.1, 7.6.0-7.6.4, 7.4.0-7.4.9, 7.2.0-7.2.11, 7.0.0-7.0.11) umożliwia atakującemu wykonanie poleceń administracyjnych na systemie poprzez spreparowane żądania HTTP lub HTTPS.

Ocena ryzyka

Atakujący może zdalnie wykonać polecenia administracyjne, co może prowadzić do pełnej kompromitacji systemu FortiWeb i naruszenia bezpieczeństwa chronionych aplikacji.

Rekomendacja

Zaktualizuj FortiWeb do wersji, która zawiera poprawkę. Ogranicz dostęp do interfejsów zarządzania i monitoruj logi pod kątem podejrzanych żądań.

Inne podatności w Fortinet FortiWeb

CVE-2016-4066Wysokie
W podatności CVE-2016-4066 występuje luka CSRF w Fortinet FortiWeb przed wersją 5.5.3, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów podczas zmiany hasła za pomocą nieokreślonych wektorów.

Oryginalny opis (angielski, źródło NVD)

A relative path traversal vulnerability in Fortinet FortiWeb 8.0.0 through 8.0.1, FortiWeb 7.6.0 through 7.6.4, FortiWeb 7.4.0 through 7.4.9, FortiWeb 7.2.0 through 7.2.11, FortiWeb 7.0.0 through 7.0.11 may allow an attacker to execute administrative commands on the system via crafted HTTP or HTTPS requests.