Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je vo FortiMonitorOnSight umožnené obísť autentizáciu využitím podvrhnutého alebo opakovane použitého JWT [1].

Zraniteľnosť sa nachádza v produkte:

• FortiMonitorOnSight; >=7.2.4, <7.2.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C

Viac informácií:

• CVE-2026-84390 na cve.org, NVD
• CWE-540: Inclusion of Sensitive Information in Source Code na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Neautentizovanému vzdialenému útočníkovi je vo FortiPAM a rozšírení FortiPAM Chrome Extension umožnené presmerovať prevádzku prehliadača používateľa v prípade, že používateľ navštívi škodlivú webovú stránku [2].

Zraniteľnosť sa nachádza v produktoch:

• FortiPAM; >=1.8.0, <1.8.4; >=1.9.0, <1.9.1;
• FortiPAM Chrome Extension; >=7.4; >=8.0, <8.0.1.123;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-84388 na cve.org, NVD
• CWE-287: Improper Authentication na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Neautentizovanému vzdialenému útočníkovi je vo FortiSandbox (vrátane Cloud a PaaS) umožnené získať prístup k citlivým informáciám zasielaním špeciálne vytvorených HTTP požiadaviek [3].

Zraniteľnosť sa nachádza v produktoch:

• FortiSandbox; >=4.4.0, <4.4.9; >=5.0.0, <5.0.6;
• FortiSandbox Cloud; >=5.0.4, <5.0.6;
• FortiSandbox PaaS; >=5.0.4, <5.0.6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-26084 na cve.org, NVD
• CWE-284: Improper Access Control na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Neautentizovanému vzdialenému útočníkovi je v bezagentovom ZTNA portáli vo FortiOS a FortiProxy umožnené vykonať MitM útok na komunikačný kanál medzi týmto portálom a cieľovou backendovou webovou stránkou [5].

Zraniteľnosť sa nachádza v produktoch:

• FortiOS; >=7.6.1, <7.6.7;
• FortiProxy; >=7.6.2, <7.6.7;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-84393 na cve.org, NVD
• CWE-295: Improper Certificate Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Autentizovanému vzdialenému útočníkovi je vo FortiSandbox umožnené spúšťať kód alebo príkazy zasielaním špeciálne vytvorených HTTP požiadaviek [4].

Zraniteľnosť sa nachádza v produkte:

• FortiSandbox; >=4.4.0, <4.4.10; >=5.0.0, <5.0.7; >=5.2.0, <5.2.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C

Viac informácií:

• CVE-2026-84387 na cve.org, NVD
• CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Autentizovanému vzdialenému útočníkovi s právami používateľa je v SNMP démonovi produktu FortiAnalyzer umožnené spôsobiť odmietnutie služby prostredníctvom SNMP GETBULK požiadaviek [6].

Zraniteľnosť sa nachádza v produkte:

• FortiAnalyzer; >=7.6.3, <7.6.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-84391 na cve.org, NVD
• CWE-457: Use of Uninitialized Variable na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Autentizovanému vzdialenému útočníkovi bez pridelených oprávnení je vo FortiSOAR umožnené odoberať websocket streamy a vkladať do nich broadcast správy prostredníctvom špeciálne vytvorených požiadaviek [7].

Zraniteľnosť sa nachádza v produktoch:

• FortiSOAR PaaS; >=7.3, <7.5.4; >=7.6.0, <7.6.7;
• FortiSOAR; >=7.3, <7.5.4; >=7.6.0, <7.6.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-84385 na cve.org, NVD
• CWE-284: Improper Access Control na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Autentizovanému lokálnemu útočníkovi je vo FortiClient Windows (cez ovládač fortimon3) umožnené ukončiť ľubovoľné procesy prostredníctvom vystaveného komunikačného portu minifiltra [8].

Zraniteľnosť sa nachádza v produkte:

• FortiClientWindows; >=7.2, <7.4.8;

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-84386 na cve.org, NVD
• CWE-283: Unverified Ownership na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Autentizovanému vzdialenému útočníkovi s právami administrátora je vo FortiManager umožnené obísť schvaľovací proces pre workflow relácie prostredníctvom špeciálne vytvorených HTTP/HTTPS požiadaviek [9].

Zraniteľnosť sa nachádza v produktoch:

• FortiManager; >=7.2, <7.4.11; >=7.6.0, <7.6.5;
• FortiManager Cloud; >=7.2, <7.4.11; >=7.6.0, <7.6.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-22575 na cve.org, NVD
• CWE-284: Improper Access Control na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Autentizovanému vzdialenému útočníkovi je vo FortiSIEM umožnené spôsobiť presmerovanie na potenciálne nedôveryhodnú webovú stránku prostredníctvom špeciálne vytvorených HTTP požiadaviek [10].

Zraniteľnosť sa nachádza v produkte:

• FortiSIEM; >=7.4.1, <=7.4.2; >=7.5.0, <7.5.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-84389 na cve.org, NVD
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.

Autentizovanému vzdialenému útočníkovi je vo FortiOS, FortiPAM a FortiProxy umožnené spôsobiť pád démona httpsd prostredníctvom špeciálne vytvorených HTTP požiadaviek [11].

Zraniteľnosť sa nachádza v produktoch:

• FortiOS; >=7.2, <7.6;
• FortiPAM; >=1.0, <1.9.1;
• FortiProxy; >=7.2, <7.6.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-84392 na cve.org, NVD
• CWE-476: NULL Pointer Dereference na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2026.