CVE-2025-54821
NiskieCVSS 1.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W Fortinet FortiOS, FortiPAM i FortiProxy występuje podatność niewłaściwego zarządzania uprawnieniami (CWE-269). Uwierzytelniony administrator może obejść politykę zaufanych hostów za pomocą spreparowanego polecenia CLI.
Ocena ryzyka
Obejście polityki zaufanych hostów może pozwolić na dostęp administracyjny z nieautoryzowanych adresów, osłabiając kontrolę dostępu do urządzeń Fortinet.
Rekomendacja
Zaktualizuj FortiOS, FortiPAM i FortiProxy do wersji zawierających poprawkę oraz ogranicz uprawnienia administracyjne do niezbędnego minimum.
Inne podatności w Fortinet FortiOS/FortiPAM/FortiProxy
Zobacz wszystkie- CVE-2026-84392Niskie
Podatność typu NULL Pointer Dereference (CWE-476) w produktach Fortinet FortiOS, FortiPAM i FortiProxy. Uwierzytelniony atakujący może wysyłać spreparowane żądania HTTP, aby doprowadzić do awarii demona httpsd.
- CVE-2023-36640Średnie
Fortinet FortiOS, FortiPAM i FortiProxy w wymienionych wersjach zawierają podatność użycia zewnętrznie kontrolowanego formatu ciągu znaków, która pozwala atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane polecenia. Podatność dotyczy wielu wersji FortiOS (7.4.0, 7.2.0-7.2.5, 7.0, 6.4, 6.2, 6.0.0-6.0.16), FortiPAM (1.1.0, 1.0) oraz FortiProxy (7.2.0-7.2.5, 7.0.0-7.0.11, 2.0, 1.2, 1.1 i inne).
- CVE-2023-29181Wysokie
Podatność na użycie zewnętrznie kontrolowanego formatu ciągu w Fortinet FortiOS, FortiPAM i FortiProxy pozwala atakującemu na wykonanie nieautoryzowanego kodu lub poleceń za pomocą specjalnie spreparowanego polecenia.
Oryginalny opis (angielski, źródło NVD)
An Improper Privilege Management vulnerability [CWE-269] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.3, FortiOS 7.4.0 through 7.4.11, FortiOS 7.2 all versions, FortiOS 7.0 all versions, FortiOS 6.4 all versions, FortiPAM 1.6.0, FortiPAM 1.5 all versions, FortiPAM 1.4 all versions, FortiPAM 1.3 all versions, FortiPAM 1.2 all versions, FortiPAM 1.1 all versions, FortiPAM 1.0 all versions, FortiProxy 7.6.0 through 7.6.3, FortiProxy 7.4.0 through 7.4.13, FortiProxy 7.2 all versions, FortiProxy 7.0 all versions may allow an authenticated administrator to bypass the trusted host policy via crafted CLI command.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS