CVE-2025-59922
WysokieStreszczenie
Podatność typu SQL Injection w Fortinet FortiClientEMS pozwala uwierzytelnionemu atakującemu z uprawnieniami co najmniej tylko do odczytu na wykonanie nieautoryzowanego kodu SQL lub poleceń poprzez spreparowane żądania HTTP/HTTPS.
Ocena ryzyka
Atakujący może manipulować bazą danych, co może prowadzić do naruszenia poufności, integralności danych lub eskalacji uprawnień w systemie EMS.
Rekomendacja
Zaktualizuj FortiClientEMS do wersji, która zawiera poprawkę na tę podatność, oraz ogranicz uprawnienia administratorów.
Inne podatności w FortiClientEMS
Zobacz wszystkie- CVE-2026-35616KrytyczneAktywnie exploitowane
Podatność w Fortinet FortiClientEMS w wersjach 7.4.5 do 7.4.6 umożliwia nieuwierzytelnionemu atakującemu wykonanie nieautoryzowanego kodu lub poleceń poprzez spreparowane żądania. Problem wynika z nieprawidłowej kontroli dostępu.
- CVE-2023-47534Krytyczne
Podatność niewłaściwej neutralizacji elementów formuł w pliku CSV w Fortinet FortiClientEMS w wielu wersjach. Pozwala atakującemu na wykonanie nieautoryzowanego kodu lub poleceń poprzez specjalnie spreparowane pakiety.
- CVE-2026-59836Wysokie
Podatność w Fortinet FortiClientEMS umożliwia atakującemu ujawnienie informacji z powodu nieprawidłowej walidacji certyfikatów. Problem dotyczy wersji 7.4.3-7.4.5, 7.4.0-7.4.1 oraz wszystkich wersji 7.2.
- CVE-2026-39810Średnie
FortiClientEMS w wersjach 7.4.0–7.4.5 zawiera wbudowany na stałe klucz kryptograficzny. Atakujący może wykorzystać ten klucz do odszyfrowania zrzutu bazy danych i ujawnienia informacji.
- CVE-2023-45581Wysokie
Podatność niewłaściwego zarządzania uprawnieniami (CWE-269) w Fortinet FortiClientEMS pozwala administratorowi witryny z uprawnieniami Super Admin na wykonywanie globalnych operacji administracyjnych wpływających na inne witryny poprzez spreparowane żądania HTTP lub HTTPS.
Oryginalny opis (angielski, źródło NVD)
An improper neutralization of special elements used in an SQL command ('SQL Injection') vulnerability [CWE-89] vulnerability in Fortinet FortiClientEMS 7.4.3 through 7.4.4, FortiClientEMS 7.4.0 through 7.4.1, FortiClientEMS 7.2.0 through 7.2.10, FortiClientEMS 7.0 all versions may allow an authenticated attacker with at least read-only admin permission to execute unauthorized SQL code or commands via crafted HTTP or HTTPs requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS