CVE-2026-84387
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
W Fortinet FortiSandbox występuje podatność typu command injection (CWE-77) wynikająca z niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach. Uprzywilejowany atakujący może wykonać nieautoryzowany kod lub polecenia poprzez spreparowane żądania HTTP. Podatność dotyczy wersji 5.2.0, 5.0.0 do 5.0.6, 4.4.0 do 4.4.9 oraz wszystkich wersji 4.2.
Ocena ryzyka
Uprzywilejowany atakujący może uzyskać zdolność wykonywania dowolnych poleceń w systemie, co może prowadzić do pełnej kompromitacji urządzenia FortiSandbox. Wymaga to jednak posiadania uprawnień w systemie.
Rekomendacja
Zastosuj aktualizacje FortiSandbox udostępnione przez Fortinet dla odpowiednich gałęzi wersji oraz ogranicz dostęp do interfejsu zarządzania do zaufanych sieci.
Inne podatności w FortiSandbox
Zobacz wszystkie- CVE-2026-107656Krytyczne
W Fortinet FortiSandbox (wersje 5.0.0–5.0.6, 4.4.0–4.4.9, 4.2 oraz odpowiednie wersje FortiSandbox PaaS) występuje luka umożliwiająca obejście uwierzytelniania poprzez alternatywną ścieżkę lub kanał. Może ona pozwolić atakującemu na wykonanie nieautoryzowanego kodu lub poleceń za pomocą spreparowanych żądań HTTP.
- CVE-2026-25089KrytyczneAktywnie exploitowane
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Fortinet FortiSandbox (wersje 5.0.0-5.0.5, 4.4.0-4.4.8, 4.2 wszystkie, FortiSandbox Cloud 5.0.4-5.0.5, FortiSandbox PaaS 5.0.4-5.0.5). Nieuwierzytelniony atakujący może wykonać nieautoryzowane polecenia przez spreparowane żądania HTTP.
- CVE-2026-26083Krytyczne
Brak autoryzacji w Fortinet FortiSandbox umożliwia nieuwierzytelnionemu atakującemu wykonanie nieautoryzowanego kodu lub komend poprzez żądania HTTP. Podatność dotyczy wielu wersji FortiSandbox, FortiSandbox Cloud oraz FortiSandbox PaaS.
- CVE-2026-39808KrytyczneAktywnie exploitowane
W Fortinet FortiSandbox w wersjach 4.4.0 do 4.4.8 wykryto podatność na wstrzykiwanie poleceń systemu operacyjnego. Luka ta wynika z nieprawidłowej neutralizacji specjalnych elementów w poleceniach OS.
- CVE-2025-53949Wysokie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w Fortinet FortiSandbox w wersjach 5.0.0-5.0.2, 4.4.0-4.4.7, 4.2 (wszystkie) i 4.0 (wszystkie). Uwierzytelniony atakujący może wykonać nieautoryzowany kod na systemie poprzez spreparowane żądania HTTP.
- CVE-2026-106172Średnie
Podatność polegająca na użyciu zakodowanego na stałe klucza kryptograficznego w Fortinet FortiSandbox (w tym wersje Cloud) może pozwolić atakującemu na eskalację uprawnień poprzez specjalnie spreparowane żądania HTTP.
- CVE-2026-106170Średnie
Podatność typu nieobsłużony wyjątek (CWE-248) w Fortinet FortiSandbox może pozwolić uprzywilejowanemu atakującemu na trwałe zablokowanie dostępu do GUI i CLI poprzez spreparowane żądania HTTP.
- CVE-2026-59835Wysokie
Podatność w Fortinet FortiSandbox w wersjach 5.0.0-5.0.2 oraz 4.4.3-4.4.8 umożliwia nieuwierzytelnionemu atakującemu dostęp do serwera VNC maszyn wirtualnych wykonujących skanowanie. Problem wynika z nieprawidłowego ograniczenia dostępu do zasobów.
- CVE-2026-39812Średnie
W Fortinet FortiSandbox (wersje 5.0.0-5.0.5, 4.4.0-4.4.8, 4.2 wszystkie) oraz FortiSandbox PaaS występuje luka typu cross-site scripting wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Może to pozwolić atakującemu na wykonanie nieautoryzowanego kodu lub poleceń.
- CVE-2026-27316Niskie
W Fortinet FortiSandbox 5.0.0–5.0.5, FortiSandbox 4.4 (wszystkie wersje) oraz FortiSandbox PaaS 5.0.1–5.0.5 występuje podatność niewystarczającej ochrony poświadczeń. Uwierzytelniony administrator może odczytać poświadczenia serwera LDAP poprzez inspekcję po stronie klienta.
Oryginalny opis (angielski, źródło NVD)
An Improper Neutralization of Special Elements used in a Command ('Command Injection') vulnerability [CWE-77] vulnerability in Fortinet FortiSandbox 5.2.0, FortiSandbox 5.0.0 through 5.0.6, FortiSandbox 4.4.0 through 4.4.9, FortiSandbox 4.2 all versions may allow a privileged attacker to execute unauthorized code or commands via crafted HTTP requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS