Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v FortiAuthenticator umožnené získať prístup k citlivým informáciám zasielaním špeciálne vytvorených požiadaviek [11].

Zraniteľnosť sa nachádza v produkte:

• FortiAuthenticator; >=6.6.0, <6.6.3; >=6.5, <6.5.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N/E:F/RL:O/RC:C

Viac informácií:

• CVE-2025-53379 na cve.org, NVD
• CWE-125: Out-of-bounds Read na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 7. 2026.

Neautentizovanému vzdialenému útočníkovi s validným API klúčom je v FortiClientEMS umožnené vydávať sa za AD Connector [10].

Zraniteľnosť sa nachádza v produkte:

• FortiClientEMS; >=7.2.0, <7.4.1; >=7.4.3, <7.4.6;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-59836 na cve.org, NVD
• CWE-295: Improper Certificate Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 7. 2026.

Autentizovanému vzdialenému útočníkovi s právami administrátora je v FortiSIEM umožnené vykonať XSS útok [9].

Zraniteľnosť sa nachádza v produkte:

• FortiSIEM; >=6.4.0, <7.2.7; >=7.3.0, <7.3.5; >=7.4.0, <7.4.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:L/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-59838 na cve.org, NVD
• CWE-80: Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS) na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 7. 2026.

Neautentizovanému vzdialenému útočníkovi je v FortiSandbox umožnené získať prístup k VNC virtuálnych strojov, ktoré práve vykonávajú analýzu [8].

Zraniteľnosť sa nachádza v produkte:

• FortiSandbox; >=4.4.3, <4.4.9; >=5.0.0, <5.0.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-59835 na cve.org, NVD
• CWE-668: Exposure of Resource to Wrong Sphere na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 7. 2026.

Neautentizovanému priľahlému útočníkovi je v FortiSIEMWindowsAgent umožnené vykonávať ľubovolný kód vydávajúc sa za stroj určený na dohľad (supervisor). Zraniteľnosť je zneužiteľná iba v prípade, že má Windows zariadenie povolenú funkcionalitu "Supers Override" [7].

Zraniteľnosť sa nachádza v produkte:

• FortiSIEMWindowsAgent; >=4.2.0, <7.4.2

CVSS: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-59841 na cve.org, NVD
• CWE-923: Improper Restriction of Communication Channel to Intended Endpoints na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 7. 2026.

Autentizovanému vzdialenému útočníkovi je v FortiOS, FortiPAM a FortiProxy umožnené vykonať reflected XSS útok. Zraniteľnosť je zneužitelná iba v prípade, že je povolená funkcionalita "Agentless SSL-VPN" [1].

Zraniteľnosť sa nachádza v produktoch:

• FortiOS; >=7.2.0, <7.6.7;
• FortiPAM; >=1.0.0, <1.8.1;
• FortiProxy; >=7.2.0, <7.2.10; >=7.4.0, <7.4.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N/E:P/RL:O/RC:C

Viac informácií:

• CVE-2026-23573 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 14. 7. 2026.