Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je umožněno provádět příkazy v operačním systému postiženého stroje s právy root zasíláním speciálně vytvořených TCP požadavků. Zranitelnost se týká pouze uzlů typu Super a Worker. Jako dočasnou opravu lze omezit přístup na port phMonitor pouze na důvěryhodné IP adresy [1]. Další technické podrobnosti ke zranitelnosti lze nalézt na [7] a PoC skript lze nalézt na [8]. Podle organizace Defused je zranitelnost aktivně zneužívána v jejích honeypotech [9].

Zranitelnost se nachází v produktu:

• FortiSIEM; >=7.4.0; <7.4.1; >=7.3.0, <7.3.5; >=7.2.0, <7.2.7; >=7.1.0, <7.1.9; >=7.0.0, <=7.0.4; >=6.7.0, <=6.7.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:H/RL:O/RC:C

Více informací:

• CVE-2025-64155 na cve.org, NVD
• CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 1. 2026.

Neautentizovanému vzdálenému útočníkovi je umožněno získat konfiguraci postiženého zařízení zasíláním speciálně vytvořených HTTP(S) požadavků [2].

Zranitelnost se nachází v produktu:

• FortiFone; >=7.0.0, <7.2.0; >=3.0.13; <3.0.24;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/E:P/RL:X/RC:C

Více informací:

• CVE-2025-47855 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 1. 2026.

Neautentizovanému vzdálenému útočníkovi je umožněno spouštět libovolný kód nebo příkazy zasíláním speciálně vytvořených požadavků. Využitím bezpečnostních kontrol jako ASLR a PIE lze snížit pravděpodobnost zneužití zranitelnosti [3].

Zranitelnost se nachází v produktech:

• FortiOS; >=7.6.0; <7.6.4; >=7.4.0, <7.4.9; >=7.2.0, <7.2.12; >=7.0.0, <7.0.18; >=6.4.0, <6.4.17;
• FortiSwitchManager; >=7.2, <7.2.7; >=7.0.0, <7.0.6;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:W/RC:C

Více informací:

• CVE-2025-25249 na cve.org, NVD
• CWE-122: Heap-based Buffer Overflow na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 1. 2026.

Autentizovanému vzdálenému útočníkovi s administrátorskými právy pro čtení je umožněno provést SQL injection útok zasíláním speciálně vytvořených HTTP(S) požadavků [4].

Zranitelnost se nachází v produktu:

• FortiClientEMS; >=7.4.3, <7.4.5; >=7.4.0, <7.4.1; >=7.2.0, <7.2.12;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H/E:P/RL:U/RC:C

Více informací:

• CVE-2025-59922 na cve.org, NVD
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 1. 2026.

Autentizovanému vzdálenému útočníkovi je umožněno odstraňovat soubory z operačního systému postiženého zařízení zasíláním speciálně vytvořených HTTP(S) požadavků [5].

Zranitelnost se nachází v produktu:

• FortiVoice; >=7.2.0, <7.2.3; >=7.0.0, <7.0.8;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H/E:U/RL:O/RC:C

Více informací:

• CVE-2025-58693 na cve.org, NVD
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 1. 2026.

Autentizovanému vzdálenému útočníkovi je umožněno provést SSRF útok s omezením na vnitřní koncové body využívající pouze protokol HTTP [6].

Zranitelnost se nachází v produktu:

• FortiSandbox; >=4.0.0, <5.0.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N/E:P/RL:O/RC:C

Více informací:

• CVE-2025-67685 na cve.org, NVD
• CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 1. 2026.