CVE-2025-59922 Fortinet — эксплойт и детали уязвимости HIGH

Параметр	Значение
CVSS	7,2 (HIGH)
Уязвимые версии	7.0.0 — 7.4.5
Устранено в версии	7.2.12
Тип уязвимости	CWE-89 (SQL Injection (SQL-инъекция))
Поставщик	Fortinet
Публичный эксплойт	Нет

Неправильная нейтрализация специальных элементов, используемых в команде SQL («SQL-инъекция»), уязвимость [CWE-89] в Fortinet FortiClientEMS 7.4.3–7.4.4, FortiClientEMS 7.4.0–7.4.1, FortiClientEMS 7.2.0–7.2.10, FortiClientEMS 7.0 все версии могут позволить аутентифицированному злоумышленнику иметь как минимум разрешение администратора только для чтения для выполнения несанкционированного кода SQL или команд через созданные запросы HTTP или HTTPs.

Показать оригинальное описание (EN)

An improper neutralization of special elements used in an SQL command ('SQL Injection') vulnerability [CWE-89] vulnerability in Fortinet FortiClientEMS 7.4.3 through 7.4.4, FortiClientEMS 7.4.0 through 7.4.1, FortiClientEMS 7.2.0 through 7.2.10, FortiClientEMS 7.0 all versions may allow an authenticated attacker with at least read-only admin permission to execute unauthorized SQL code or commands via crafted HTTP or HTTPs requests.

Характеристики атаки

Способ атаки

По сети

Атака возможна удалённо

Сложность

Низкая

Легко эксплуатировать

Нужны права

Высокие

Нужны права администратора

Участие пользователя

Не требуется

Не нужно действие пользователя

Последствия

Конфиденциальность

Высокое

Полная утечка данных

Целостность

Высокое

Полная модификация данных

Доступность

Высокое

Полный отказ в обслуживании

Строка CVSS v3.1

Тип уязвимости (CWE)

CWE-89 SQL Injection (SQL-инъекция)

Уязвимые продукты 1

fortinet:forticlientems

Затронутые конфигурации ПО 2

Конфигурация	От (включительно)	До (исключительно)
Fortinet Forticlientems cpe:2.3:a:fortinet:forticlientems::::::::	`7.0.0`	`7.2.12`
Fortinet Forticlientems cpe:2.3:a:fortinet:forticlientems::::::::	`7.4.0`	`7.4.5`