CVE-2026-23706
ŚrednieCVSS 6.5Streszczenie
Podatność typu SQL Injection (CWE-89) w Fortinet FortiAnalyzer i FortiManager (w tym wersje Cloud) może pozwolić użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może wykonać dowolne polecenia, co może prowadzić do eskalacji uprawnień i przejęcia systemu. Dotyczy to wielu wersji FortiAnalyzer i FortiManager.
Rekomendacja
Zaktualizuj FortiAnalyzer i FortiManager do wersji zawierających poprawkę. Ogranicz dostęp do interfejsów zarządzania do zaufanych sieci.
Inne podatności w FortiAnalyzer/FortiManager
Zobacz wszystkie- CVE-2024-45331Wysokie
Podatność w Fortinet FortiAnalyzer i FortiManager umożliwia atakującemu eskalację uprawnień poprzez wykonanie określonych poleceń powłoki. Błąd wynika z nieprawidłowego przypisania uprawnień w wielu wersjach tych produktów.
- CVE-2024-35276Średnie
Podatność przepełnienia bufora na stosie w Fortinet FortiAnalyzer i FortiManager umożliwia zdalnemu atakującemu wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane pakiety sieciowe. Problem dotyczy wielu wersji tych produktów, w tym chmurowych wariantów.
Oryginalny opis (angielski, źródło NVD)
An Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability [CWE-89] vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.4, FortiAnalyzer 7.4.0 through 7.4.7, FortiAnalyzer 7.2 all versions, FortiAnalyzer Cloud 7.6.2 through 7.6.4, FortiAnalyzer Cloud 7.4.1 through 7.4.7, FortiAnalyzer Cloud 7.2.1 through 7.2.11, FortiManager 7.6.0 through 7.6.4, FortiManager 7.4.0 through 7.4.6, FortiManager 7.2 all versions may allow a low privileged user to execute arbitrary commands via crafted requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS