Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je vo FortiSandbox umožnené vykonať útok XSS [8].

Zraniteľnosť sa nachádza v produkte:

• FortiSandbox; >=4.0, <4.4.8; >=5.0.0, <5.0.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-52436 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 2. 2026.

Neautentizovanému vzdialenému útočníkovi je kvôli logickej chybe v komponente FortiOS (fnbamd) za určitých podmienok umožnené obísť autentizáciu v rámci Agentless VPN alebo FSSO (Fortinet Single Sign-On). Zraniteľnosť je zneužiteľná, ak konfigurácia vzdialeného LDAP servera povoľuje neautentizované dotazy (unauthenticated bind). Ak nie je možná okamžitá aktualizácia na opravenú verziu, odporúča sa na dočasnú mitigáciu rizika túto konfiguráciu zakázať. Detailné informácie k dočasnej oprave nájdete na [4].

Zraniteľnosť sa nachádza v produkte:

• FortiOS; >=7.6.0, <7.6.5;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2026-22153 na cve.org, NVD
• CWE-305: Authentication Bypass by Primary Weakness na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 2. 2026.

Autentizovanému vzdialenému útočníkovi s právami read-only je vo FortiAuthenticator nahrávaním špecifických súborov na nechránený endpoint umožnené neoprávnene modifikovať lokálne užívateľské účty [1].

Zraniteľnosť sa nachádza v produkte:

• FortiAuthenticator; >=6.3.0, <6.6.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2026-21743 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 2. 2026.