CVE-2026-39809
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Fortinet FortiClientEMS w wersjach 7.4.0 do 7.4.5, 7.2.0 do 7.2.12 oraz 7.0 wszystkich wersji zawiera podatność wstrzyknięcia SQL (niewłaściwa neutralizacja specjalnych elementów w poleceniach SQL). Atakujący może wykonać nieautoryzowany kod lub polecenia poprzez wysyłanie spreparowanych żądań.
Ocena ryzyka
Może prowadzić do nieautoryzowanego dostępu do bazy danych, wycieku danych lub wykonania poleceń w kontekście aplikacji. Stanowi poważne zagrożenie dla poufności i integralności systemu zarządzania klientami.
Rekomendacja
Zaktualizuj FortiClientEMS do najnowszej wersji zawierającej poprawkę i wdroż walidację danych wejściowych oraz monitorowanie nietypowych żądań.
Inne podatności w Fortinet FortiClientEMS
Zobacz wszystkie- CVE-2023-48788KrytyczneAktywnie exploitowane
W Fortinet FortiClientEMS w wersjach 7.2.0 do 7.2.2 oraz 7.0.1 do 7.0.10 występuje podatność na wstrzyknięcie SQL. Atakujący może wysyłać specjalnie spreparowane pakiety w celu wykonania nieautoryzowanego kodu lub poleceń.
- CVE-2024-21753Średnie
Podatność na path traversal w Fortinet FortiClientEMS pozwala atakującemu na przeprowadzenie ataku typu denial of service, odczyt lub zapis ograniczonej liczby plików za pomocą specjalnie spreparowanych żądań HTTP.
Oryginalny opis (angielski, źródło NVD)
A improper neutralization of special elements used in an sql command ('sql injection') vulnerability in Fortinet FortiClientEMS 7.4.0 through 7.4.5, FortiClientEMS 7.2.0 through 7.2.12, FortiClientEMS 7.0 all versions may allow attacker to execute unauthorized code or commands via sending crafted requests
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS