Fortinet FortiSandbox, özel hazırlanmış HTTP istekleri yoluyla kimliği doğrulanmamış bir saldırıcının yetkisiz kod veya komut çalıştırmasına olanak verebilecek bir işletim sistemi komut enjeksiyonu zafiyeti içeriyor.
Bu açık CISA tarafından aktif istismar edildiği doğrulanmış açıklar katalogunda yer alıyor. Teorik bir risk değil — sahada kullanılıyor.
Fortinet FortiSandbox, özel hazırlanmış HTTP istekleri yoluyla kimliği doğrulanmamış bir saldırıcının yetkisiz kod veya komut çalıştırmasına olanak verebilecek bir işletim sistemi komut enjeksiyonu zafiyeti içeriyor.
Üretici talimatlarına uygun olarak hafifletmeleri uygulayın; CISA’nın BOD 26-04 Prioritizing Security Updates Based on Risk (Notlardaki URL'ye bakınız) yönergesi ve CISA’nın "Forensics Triage Requirements" (Notlardaki URL'ye bakınız) ile uyumu sağlayın. Bulut hizmetleri için uygulanabilir BOD 26-04 yönergelerini takip edin veya hafifletmeler mevcut değilse ürünün kullanımını sonlandırın. Paydaşlar, her varlığın internet maruziyetini değerlendirip BOD 26-04 yama yönergelerine uyulmasını sağlamakla sorumludur.
Fortinet FortiOS, yetkisiz bir aktöre hassas bilgilerin açığa çıkmasına sebep olan bir zafiyet içerir. Bu, uzak ve kimliği doğrulanmamış bir saldırganın, bazı istismar sonrası vakalarda gözlemlenen sembolik bağlantı kalıcılık mekanizması için geliştirilen yamayı, özel hazırlanmış HTTP istekleri aracılığıyla atlatmasına izin verebilir. Bir saldırganın önce ürünü dosya sistemi düzeyinde başka bir zafiyet aracılığıyla ele geçirmiş olması gerekir.
Fortinet FortiSandbox, FortiSandbox Cloud ve FortiSandbox PaaS, kimlik doğrulaması olmayan bir saldırganın özellikle hazırlanmış HTTP istekleri aracılığıyla yetkisiz komutlar çalıştırmasına olanak tanıyan bir işletim sistemi komut enjeksiyonu güvenlik açığı içerir.
CVSSv3 Score: 7.7 FortiSandbox'ta bulunan An Exposure of Resource to Wrong Sphere zafiyeti [CWE-668], kimlik doğrulaması olmayan bir saldırıcının ağ istekleri aracılığıyla tarama yapan VM'lerin VNC sunucusuna erişmesine olanak verebilir. Revize edildi: 2026-07-14 00:00:00