CVE-2026-39810
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
FortiClientEMS w wersjach 7.4.0–7.4.5 zawiera wbudowany na stałe klucz kryptograficzny. Atakujący może wykorzystać ten klucz do odszyfrowania zrzutu bazy danych i ujawnienia informacji.
Ocena ryzyka
Ujawnienie danych z bazy może narazić organizację na wyciek informacji wrażliwych i obejście mechanizmów ochrony danych.
Rekomendacja
Zaktualizuj FortiClientEMS do wersji nowszej niż 7.4.5 i przeanalizuj, czy zrzuty bazy nie wyciekły.
Inne podatności w FortiClientEMS
Zobacz wszystkie- CVE-2025-59922Wysokie
Podatność typu SQL Injection w Fortinet FortiClientEMS pozwala uwierzytelnionemu atakującemu z uprawnieniami co najmniej tylko do odczytu na wykonanie nieautoryzowanego kodu SQL lub poleceń poprzez spreparowane żądania HTTP/HTTPS.
- CVE-2026-35616KrytyczneAktywnie exploitowane
Podatność w Fortinet FortiClientEMS w wersjach 7.4.5 do 7.4.6 umożliwia nieuwierzytelnionemu atakującemu wykonanie nieautoryzowanego kodu lub poleceń poprzez spreparowane żądania. Problem wynika z nieprawidłowej kontroli dostępu.
- CVE-2023-47534Krytyczne
Podatność niewłaściwej neutralizacji elementów formuł w pliku CSV w Fortinet FortiClientEMS w wielu wersjach. Pozwala atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane pakiety.
- CVE-2026-59836Wysokie
Podatność w Fortinet FortiClientEMS umożliwia atakującemu ujawnienie informacji z powodu nieprawidłowej walidacji certyfikatów. Problem dotyczy wersji 7.4.3-7.4.5, 7.4.0-7.4.1 oraz wszystkich wersji 7.2.
- CVE-2023-45581Wysokie
Podatność niewłaściwego zarządzania uprawnieniami (CWE-269) w Fortinet FortiClientEMS pozwala administratorowi witryny z uprawnieniami Super Admin na wykonywanie globalnych operacji administracyjnych wpływających na inne witryny poprzez spreparowane żądania HTTP lub HTTPS.
Oryginalny opis (angielski, źródło NVD)
A use of hard-coded cryptographic key vulnerability in Fortinet FortiClientEMS 7.4.0 through 7.4.5 may allow attacker to information disclosure via decrypting database dump.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS