Summary
Fortinet heeft meerdere kwetsbaarheden verholpen in FortiSandbox, waaronder in on-premises versies en FortiSandbox Cloud, waarvan twee door Fortinet als kritiek zijn beoordeeld.
Details
Interpretaties
Een kwaadwillende kan de kwetsbaarheden met kenmerk CVE-2026-39813 en CVE-2026-39808 misbruiken doordat in FortiSandbox sprake is van OS command injection en een path traversal-kwetsbaarheid in de JRPC API. Hierdoor kan een niet-geauthenticeerde aanvaller via gemanipuleerde HTTP-verzoeken ongeautoriseerde code of commando’s uitvoeren en authenticatie omzeilen.
De overige kwetsbaarheden omvatten een path traversal-kwetsbaarheid waardoor een geprivilegieerde super-admin met CLI-toegang via HTTP-verzoeken mappen kan verwijderen, en meerdere cross-site scripting kwetsbaarheden (reflected en stored) waardoor via gemanipuleerde HTTP-verzoeken XSS-aanvallen kunnen worden uitgevoerd.
Oplossingen
Fortinet heeft updates uitgebracht om de kwetsbaarheden in FortiSandbox en FortiSandbox Cloud te verhelpen. Zie bijgevoegde referenties voor meer informatie.
Vulnerabilities 5
-
Critical 9.1
A improper neutralization of special elements used in an os command ('os command injection') vulnerability in Fortinet …
KEV Jul 16, 2026 -
Critical 9.1
A path traversal: '../filedir' vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.5, FortiSandbox 4.4.0 through 4…
-
Medium 6.2
A improper limitation of a pathname to a restricted directory ('path traversal') vulnerability in Fortinet FortiSandbox…
-
Medium 4.9
An Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability [CWE-79] vulnerab…
-
Medium 4.3
A improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Fortinet FortiS…
Revision history
-
#1.0.0
Initiele versie