CVE-2026-25691
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W Fortinet FortiSandbox (wersje 5.0.0–5.0.5, 4.4.0–4.4.8, wszystkie wersje 4.2, FortiSandbox Cloud 5.0.4 i PaaS 5.0.4) występuje podatność path traversal. Uprzywilejowany atakujący z profilem super-admin i dostępem CLI może usunąć dowolny katalog poprzez spreparowane żądania HTTP.
Ocena ryzyka
Atakujący z wysokimi uprawnieniami może zniszczyć krytyczne dane lub pliki systemowe, powodując poważne zakłócenia w działaniu usługi.
Rekomendacja
Ogranicz dostęp CLI i uprawnienia super-admin do niezbędnych osób oraz wdróż poprawkę od Fortinet, gdy tylko będzie dostępna.
Inne podatności w Fortinet FortiSandbox
Zobacz wszystkie- CVE-2026-26084Krytyczne
Podatność nieprawidłowej kontroli dostępu w Fortinet FortiSandbox (wersje 5.0.0-5.0.5, 4.4.0-4.4.8, Cloud 5.0.4-5.0.5, PaaS 5.0.4-5.0.5) może pozwolić atakującemu na dostęp do wrażliwych informacji poprzez spreparowane żądania HTTP.
- CVE-2025-54353Średnie
Podatność typu Cross-site Scripting (XSS) w Fortinet FortiSandbox w wersjach 5.0.0-5.0.2, 4.4.0-4.4.7, 4.2 (wszystkie wersje) i 4.0 (wszystkie wersje). Atakujący może przeprowadzić atak XSS za pomocą spreparowanych żądań HTTP.
Oryginalny opis (angielski, źródło NVD)
A improper limitation of a pathname to a restricted directory ('path traversal') vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4.4.8, FortiSandbox 4.2 all versions, FortiSandbox Cloud 5.0.4, FortiSandbox PaaS 5.0.4 may allow a privileged attacker with super-admin profile and CLI access to delete an arbitrary directory via HTTP crafted requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS