CVE-2026-23706
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Fortinet FortiAnalyzer 7.6.0–7.6.2, 7.4.1–7.4.6, FortiAnalyzer Cloud 7.6.2, 7.4.1–7.4.6, 7.2.1–7.2.9 oraz FortiManager 7.6.0–7.6.2, 7.4.0–7.4.6 zawierają lukę SQL Injection (CWE-89). Może ona pozwolić użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może wykonać dowolne polecenia, co może prowadzić do przejęcia systemu i naruszenia danych.
Rekomendacja
Zaktualizuj FortiAnalyzer, FortiAnalyzer Cloud i FortiManager do wersji zawierających poprawkę oraz ogranicz dostęp do interfejsów administracyjnych.
Inne podatności w Fortinet FortiAnalyzer/FortiManager
Zobacz wszystkie- CVE-2026-23707Wysokie
Podatność SQL Injection (CWE-89) w Fortinet FortiAnalyzer i FortiManager (w tym wersje Cloud) pozwala użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania. Dotyczy wielu wersji oprogramowania Fortinet.
- CVE-2026-23705Wysokie
Fortinet FortiAnalyzer (wersje 7.6.0-7.6.2, 7.4.0-7.4.6, 7.2.0-7.2.13) oraz FortiManager (wersje 7.4.0-7.4.6, 7.2 wszystkie wersje) zawierają lukę SQL Injection (CWE-89), która może pozwolić użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania.
- CVE-2025-67604Średnie
Podatność typu use of potentially dangerous function w Fortinet FortiAnalyzer i FortiManager pozwala uwierzytelnionemu atakującemu na zawieszenie systemu poprzez wysłanie wielu specjalnie spreparowanych żądań HTTP powodujących awarie. Wystąpienie podatności zależy od wyrównania wewnętrznych blokad, na co atakujący nie ma wpływu.
- CVE-2025-68649Średnie
Podatność path traversal w Fortinet FortiAnalyzer, FortiAnalyzer Cloud, FortiManager i FortiManager Cloud pozwala uprzywilejowanemu atakującemu na usuwanie plików z systemu plików poprzez spreparowane żądania CLI. Problem wynika z niewłaściwego ograniczenia ścieżki do katalogu restricted.
Oryginalny opis (angielski, źródło NVD)
An Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability [CWE-89] vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.2, FortiAnalyzer 7.4.1 through 7.4.6, FortiAnalyzer Cloud 7.6.2, FortiAnalyzer Cloud 7.4.1 through 7.4.6, FortiAnalyzer Cloud 7.2.1 through 7.2.9, FortiManager 7.6.0 through 7.6.2, FortiManager 7.4.0 through 7.4.6 may allow a low privileged user to execute arbitrary commands via crafted requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS