CVE-2026-84391
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Fortinet FortiAnalyzer w wersjach 7.6.3 do 7.6.6 występuje podatność polegająca na użyciu niezainicjalizowanej zmiennej, która może pozwolić atakującemu na spowodowanie odmowy usługi. Szczegóły wektora ataku nie zostały podane.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do przerwania działania usługi FortiAnalyzer, co może wpłynąć na dostępność monitorowania i analizy bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację FortiAnalyzer do wersji, w której podatność została naprawiona (jeśli dostępna). Należy również ograniczyć dostęp do urządzenia tylko dla zaufanych użytkowników i monitorować nietypowe zachowania.
Inne podatności w FortiAnalyzer
Zobacz wszystkie- CVE-2025-46773Wysokie
Podatność typu SQL Injection (CWE-89) w Fortinet FortiAnalyzer w wersjach 7.6.0–7.6.4, 7.4.0–7.4.7, 7.2 (wszystkie wersje) oraz FortiAnalyzer Cloud 7.6.2–7.6.4, 7.4.1–7.4.7, 7.2.1–7.2.11 może pozwolić użytkownikowi o niskich uprawnieniach na wykonanie dowolnych poleceń poprzez spreparowane żądania.
- CVE-2025-61848Wysokie
Podatność na wstrzyknięcie SQL w Fortinet FortiAnalyzer, FortiManager i powiązanych produktach (wymienione wersje) może pozwolić uprzywilejowanemu uwierzytelnionemu atakującemu na wykonanie nieautoryzowanego kodu lub poleceń przez API JSON RPC.
- CVE-2025-54973Średnie
Podatność typu wyścig (race condition) w Fortinet FortiAnalyzer umożliwia atakującemu obejście autoryzacji FortiCloud SSO poprzez spreparowane żądania. Dotyczy wersji 7.0.0-7.0.13, 7.2.0-7.2.10, 7.4.0-7.4.6, 7.6.0-7.6.2.
- CVE-2024-50571Wysokie
Fortinet FortiAnalyzer, FortiManager, FortiOS i FortiProxy zawierają podatność przepełnienia bufora opartego na stercie. Atakujący może wykonać nieautoryzowany kod lub polecenia poprzez specjalnie spreparowane żądania.
Oryginalny opis (angielski, źródło NVD)
A use of uninitialized variable vulnerability in Fortinet FortiAnalyzer 7.6.3 through 7.6.6 may allow attacker to denial of service via <insert attack vector here>
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS