CVE-2026-84392
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
Podatność typu NULL Pointer Dereference (CWE-476) w produktach Fortinet FortiOS, FortiPAM i FortiProxy. Uwierzytelniony atakujący może wysyłać spreparowane żądania HTTP, aby doprowadzić do awarii demona httpsd.
Ocena ryzyka
Atakujący z ważnym kontem może wywołać awarię usługi zarządzania HTTPS, powodując niedostępność interfejsu administracyjnego i potencjalny wpływ na dostępność urządzenia.
Rekomendacja
Zaktualizuj FortiOS, FortiPAM i FortiProxy do wersji zawierających poprawkę i ogranicz dostęp do interfejsu administracyjnego do zaufanych sieci.
Inne podatności w Fortinet FortiOS/FortiPAM/FortiProxy
Zobacz wszystkie- CVE-2025-54821Niskie
W Fortinet FortiOS, FortiPAM i FortiProxy występuje podatność niewłaściwego zarządzania uprawnieniami (CWE-269). Uwierzytelniony administrator może obejść politykę zaufanych hostów za pomocą spreparowanego polecenia CLI.
- CVE-2023-36640Średnie
Fortinet FortiOS, FortiPAM i FortiProxy w wymienionych wersjach zawierają podatność użycia zewnętrznie kontrolowanego formatu ciągu znaków, która pozwala atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane polecenia. Podatność dotyczy wielu wersji FortiOS (7.4.0, 7.2.0-7.2.5, 7.0, 6.4, 6.2, 6.0.0-6.0.16), FortiPAM (1.1.0, 1.0) oraz FortiProxy (7.2.0-7.2.5, 7.0.0-7.0.11, 2.0, 1.2, 1.1 i inne).
- CVE-2023-29181Wysokie
Podatność na użycie zewnętrznie kontrolowanego formatu ciągu w Fortinet FortiOS, FortiPAM i FortiProxy pozwala atakującemu na wykonanie nieautoryzowanego kodu lub poleceń za pomocą specjalnie spreparowanego polecenia.
Oryginalny opis (angielski, źródło NVD)
A NULL Pointer Dereference vulnerability [CWE-476] vulnerability in Fortinet FortiOS 7.4 all versions, FortiOS 7.2 all versions, FortiOS 7.0 all versions, FortiOS 6.4 all versions, FortiPAM 1.9.0, FortiPAM 1.8 all versions, FortiPAM 1.7 all versions, FortiPAM 1.6 all versions, FortiPAM 1.5 all versions, FortiPAM 1.4 all versions, FortiPAM 1.3 all versions, FortiPAM 1.2 all versions, FortiPAM 1.1 all versions, FortiPAM 1.0 all versions, FortiProxy 7.6.0 through 7.6.6, FortiProxy 7.4 all versions, FortiProxy 7.2 all versions may allow an authenticated attacker to crash the httpsd daemon via crafted HTTP requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS