| 11-05-2022 | CVE-2022-26116 | (V200/14-10-2022/UCYBRS) | Vulnérabilité de neutralisation incorrecte multiple d'éléments spéciaux utilisés dans les commandes SQL ("SQL Injection") [CWE-89] dans FortiNAC version 8.3.7 et inférieure, 8.5.2 et inférieure, 8.5.4, 8.6.0, 8.6.5 et inférieure , 8.7.6 et inférieurs, 8.8.11 et inférieurs, 9.1.5 et inférieurs, 9.2.2 et inférieurs peuvent permettre à un attaquant authentifié d'exécuter du code ou des commandes non autorisés via des paramètres de chaînes spécialement conçus. (CVSS : 6.5) (Dernière mise à jour : 2022-05-18) | lien |
| 06-04-2022 | CVE-2022-23441 | (V199/14-10-2022/UCYBRS) | Une utilisation de la vulnérabilité de clé cryptographique codée en dur [CWE-321] dans les versions 5.0.2, 5.0.1, 5.0.0, 4.0.0 de FortiEDR peut permettre à un attaquant non authentifié sur le réseau de se déguiser et de falsifier des messages provenant d'autres collecteurs. (CVSS:6.4) (Dernière mise à jour :2022-04-13) | lien |
| 01-03-2022 | CVE-2022-22300 | (V198/14-10-2022/UCYBRS) | Une mauvaise gestion des autorisations ou privilèges insuffisants dans Fortinet FortiAnalyzer version 5.6.0 à 5.6.11, FortiAnalyzer version 6.0.0 à 6.0.11, FortiAnalyzer version 6.2.0 à 6.2.9, FortiAnalyzer version 6.4.0 à 6.4.7, FortiAnalyzer version 7.0.0 à 7.0.2, FortiManager version 5.6.0 à 5.6.11, FortiManager version 6.0.0 à 6.0.11, FortiManager version 6.2.0 à 6.2.9, FortiManager version 6.4.0 à 6.4.7, FortiManager version 7.0.0 à 7.0.2 permet à l'attaquant de contourner la politique de l'appareil et de forcer l'action de changement de mot de passe pour son utilisateur. (CVSS:6.5) (Dernière mise à jour :2022-03-09) | lien |
| 01-03-2022 | CVE-2021-43077 | (V197/14-10-2022/UCYBRS) | Une neutralisation inappropriée d'éléments spéciaux utilisés dans une commande sql ("injection sql") dans Fortinet FortiWLM version 8.6.2 et inférieure, version 8.5.2 et inférieure, version 8.4.2 et inférieure, version 8.3.2 et inférieure permet à l'attaquant de exécuter du code ou des commandes non autorisés via des requêtes HTTP spécialement conçues pour les gestionnaires de moniteur AP. (CVSS:6.5) (Dernière mise à jour :2022-03-09) | lien |
| 01-03-2022 | CVE-2021-43075 | (V196/14-10-2022/UCYBRS) | Une neutralisation incorrecte d'éléments spéciaux utilisés dans une commande os ("injection de commande os") dans Fortinet FortiWLM version 8.6.2 et inférieure, version 8.5.2 et inférieure, version 8.4.2 et inférieure, version 8.3.2 et inférieure permet à l'attaquant pour exécuter du code ou des commandes non autorisés via des requêtes HTTP spécialement conçues pour le tableau de bord des alarmes et les gestionnaires de configuration du contrôleur. (CVSS:9.0) (Dernière mise à jour :2022-03-09) | lien |
| 02-02-2022 | CVE-2021-43073 | (V195/14-10-2022/UCYBRS) | Une neutralisation inappropriée d'éléments spéciaux utilisés dans une commande os ("injection de commande os") dans Fortinet FortiWeb version 6.4.1 et 6.4.0, version 6.3.15 et inférieure, version 6.2.6 et inférieure permet à l'attaquant d'exécuter du code non autorisé ou commandes via des requêtes HTTP spécialement conçues. (CVSS:6.5) (Dernière mise à jour :2022-02-07) | lien |
| 09-12-2021 | CVE-2021-43071 | (V194/14-10-2022/UCYBRS) | Un dépassement de mémoire tampon basé sur le tas dans Fortinet FortiWeb version 6.4.1 et 6.4.0, version 6.3.15 et inférieure, version 6.2.6 et inférieure permet à l'attaquant d'exécuter du code ou des commandes non autorisés via des requêtes HTTP spécialement conçues au contrôleur d'API LogReport. (CVSS : 6.5) (Dernière mise à jour : 2021-12-10) | lien |
| 09-12-2021 | CVE-2021-43065 | (V193/14-10-2022/UCYBRS) | Une affectation d'autorisation incorrecte pour une ressource critique dans Fortinet FortiNAC version 9.2.0, version 9.1.3 et inférieure, version 8.8.9 et inférieure permet à l'attaquant d'obtenir des privilèges plus élevés via l'accès aux données système sensibles. (CVSS : 7.2) (Dernière mise à jour : 2022-07-28) | lien |
| 08-12-2021 | CVE-2021-42760 | (V192/14-10-2022/UCYBRS) | Une neutralisation incorrecte d'éléments spéciaux utilisés dans une commande sql ("injection sql") dans Fortinet FortiWLM version 8.6.1 et inférieure permet à l'attaquant de divulguer des informations sensibles à partir de tables DB via des requêtes spécialement conçues. (CVSS:7.5) (Dernière mise à jour :2021-12-09) | lien |
| 08-12-2021 | CVE-2021-42758 | (V191/14-10-2022/UCYBRS) | Une vulnérabilité de contrôle d'accès inapproprié [CWE-284] dans FortiWLC 8.6.1 et versions antérieures peut permettre à un attaquant authentifié et distant avec de faibles privilèges d'exécuter n'importe quelle commande en tant qu'utilisateur administrateur avec des droits d'accès complets en contournant les restrictions de l'interface graphique. (CVSS : 9.0) (Dernière mise à jour : 2021-12-10) | lien |
| 02-02-2022 | CVE-2021-42753 | (V190/14-10-2022/UCYBRS) | Une limitation incorrecte d'un nom de chemin vers un répertoire restreint (vulnérabilité 'Path Traversal') [CWE-22] dans l'interface de gestion FortiWeb 6.4.1 et inférieure, 6.3.15 et inférieure, 6.2.x, 6.1.x, 6.0.x, 5.9.x et 5.8.x peuvent permettre à un attaquant authentifié d'effectuer une suppression arbitraire de fichiers et de répertoires dans le système de fichiers du périphérique. (CVSS:8.5) (Dernière mise à jour :2022-02-07) | lien |
| 08-12-2021 | CVE-2021-41030 | (V189/14-10-2022/UCYBRS) | Une vulnérabilité de contournement d'authentification par capture-relecture [CWE-294] dans FortiClient EMS versions 7.0.1 et inférieures et 6.4.4 et inférieures peut permettre à un attaquant non authentifié de se faire passer pour un utilisateur existant en interceptant et en réutilisant des messages d'authentification SAML valides. (CVSS:6.4) (Dernière mise à jour :2021-12-10) | lien |
| 08-12-2021 | CVE-2021-41025 | (V188/14-10-2022/UCYBRS) | Vulnérabilités multiples dans le mécanisme d'authentification de confd dans les versions FortiWeb 6.4.1, 6.4.0, 6.3.0 à 6.3.15, 6.2.0 à 6.2.6, 6.1.0 à 6.1.2, 6.0.0 à 6.0.7 , y compris une instance d'exécution simultanée utilisant une ressource partagée avec une synchronisation incorrecte et une instance de contournement d'authentification par capture-relecture, peut permettre à un attaquant distant non authentifié de contourner le processus d'authentification et de s'authentifier en tant qu'homologue légitime du cluster. (CVSS : 7.5) (Dernière mise à jour : 2022-07-12) | lien |
| 08-12-2021 | CVE-2021-41021 | (V187/14-10-2022/UCYBRS) | Une vulnérabilité d'élévation de privilèges dans les versions 8.8.8 et inférieures de FortiNAC et 9.1.2 et inférieures peut permettre à un utilisateur administrateur d'élever les privilèges à root via la commande sudo. (CVSS:7.2) (Dernière mise à jour :2022-07-12) | lien |
| 04-05-2022 | CVE-2021-41020 | (V186/14-10-2022/UCYBRS) | Une vulnérabilité de contrôle d'accès inapproprié [CWE-284] dans FortiIsolator versions 2.3.2 et inférieures peut permettre à un attaquant authentifié et non privilégié de régénérer le certificat CA via l'URL de régénération. (CVSS:6.5) (Dernière mise à jour :2022-07-12) | lien |
| 02-02-2022 | CVE-2021-41018 | (V185/14-10-2022/UCYBRS) | Une neutralisation inappropriée d'éléments spéciaux utilisés dans une commande os ("injection de commande os") dans Fortinet FortiWeb version 6.4.1 et inférieure, 6.3.15 et inférieure permet à l'attaquant d'exécuter du code ou des commandes non autorisés via des requêtes HTTP spécialement conçues. (CVSS : 9.0) (Dernière mise à jour : 2022-02-04) | lien |
| 08-12-2021 | CVE-2021-41017 | (V184/14-10-2022/UCYBRS) | Plusieurs vulnérabilités de dépassement de mémoire tampon basées sur le tas dans certains contrôleurs d'API Web de FortiWeb 6.4.1, 6.4.0 et 6.3.0 à 6.3.15 peuvent permettre à un attaquant authentifié à distance d'exécuter du code ou des commandes arbitraires via des requêtes HTTP spécialement conçues. (CVSS : 6.5) (Dernière mise à jour : 2021-12-10) | lien |
| 08-12-2021 | CVE-2021-36195 | (V183/14-10-2022/UCYBRS) | Plusieurs vulnérabilités d'injection de commandes dans l'interpréteur de ligne de commande des versions 6.4.1, 6.4.0, 6.3.0 à 6.3.15, 6.2.0 à 6.2.6 et 6.1.0 à 6.1.2 de FortiWeb peuvent permettre à un attaquant authentifié de exécuter des commandes arbitraires sur le shell système sous-jacent via des arguments de commande spécialement conçus. (CVSS : 9.0) (Dernière mise à jour : 2021-12-10) | lien |
| 09-12-2021 | CVE-2021-36194 | (V182/14-10-2022/UCYBRS) | Plusieurs débordements de tampon basés sur la pile dans les contrôleurs API de FortiWeb 6.4.1, 6.4.0 et 6.3.0 à 6.3.15 peuvent permettre à un attaquant authentifié d'exécuter du code arbitraire via des requêtes spécialement conçues. (CVSS : 6.5) (Dernière mise à jour : 2021-12-10) | lien |
| 02-02-2022 | CVE-2021-36193 | (V181/14-10-2022/UCYBRS) | Plusieurs débordements de tampon basés sur la pile dans l'interpréteur de ligne de commande de FortiWeb avant 6.4.2 peuvent permettre à un attaquant authentifié d'exécuter du code arbitraire via des commandes spécialement conçues. (CVSS:6.5) (Dernière mise à jour :2022-02-07) | lien |
| 08-12-2021 | CVE-2021-36190 | (V180/14-10-2022/UCYBRS) | Un proxy ou intermédiaire non intentionnel ("député confus") dans Fortinet FortiWeb version 6.4.1 et inférieure, 6.3.15 et inférieure permet à un attaquant non authentifié d'accéder à des hôtes protégés via des requêtes HTTP spécialement conçues. (CVSS:6.5) (Dernière mise à jour :2021-12-09) | lien |
| 02-11-2021 | CVE-2021-36186 | (V179/14-10-2022/UCYBRS) | Un débordement de tampon basé sur la pile dans Fortinet FortiWeb version 6.4.0, version 6.3.15 et inférieure, 6.2.5 et inférieure permet à l'attaquant d'exécuter du code ou des commandes non autorisés via des requêtes HTTP spécialement conçues (CVSS : 7.5) (Dernière mise à jour : 2021-11 -04) | lien |
| 02-11-2021 | CVE-2021-36185 | (V178/14-10-2022/UCYBRS) | Une neutralisation inappropriée d'éléments spéciaux utilisés dans une commande du système d'exploitation ("OS Command Injection") dans Fortinet FortiWLM version 8.6.1 et inférieure permet à l'attaquant d'exécuter du code ou des commandes non autorisés via des requêtes HTTP spécialement conçues. (CVSS:6.5) (Dernière mise à jour :2021-11-04) | lien |
| 02-11-2021 | CVE-2021-36183 | (V177/14-10-2022/UCYBRS) | Une vulnérabilité d'autorisation incorrecte [CWE-285] dans FortiClient pour Windows versions 7.0.1 et inférieures et 6.4.2 et inférieures peut permettre à un attaquant local non privilégié d'élever ses privilèges à SYSTEM via le canal nommé responsable des mises à jour Forticlient. (CVSS:7.2) (Dernière mise à jour :2022-05-03) | lien |
| 08-09-2021 | CVE-2021-36182 | (V176/14-10-2022/UCYBRS) | Une neutralisation incorrecte d'éléments spéciaux utilisés dans une commande ("Command Injection") dans Fortinet FortiWeb version 6.3.13 et inférieure permet à l'attaquant d'exécuter du code ou des commandes non autorisés via des requêtes HTTP spécialement conçues (CVSS:6.5) (Dernière mise à jour :2021-09- 14) | lien |
| 08-12-2021 | CVE-2021-36180 | (V175/14-10-2022/UCYBRS) | La neutralisation inappropriée multiple d'éléments spéciaux utilisés dans une vulnérabilité de commande [CWE-77] dans l'interface de gestion FortiWeb 6.4.1 et inférieure, 6.3.15 et inférieure, 6.2.5 et inférieure peut permettre à un attaquant authentifié d'exécuter du code ou des commandes non autorisés via des paramètres des requêtes HTTP. (CVSS:6.5) (Dernière mise à jour :2022-07-12) | lien |
| 08-09-2021 | CVE-2021-36179 | (V174/14-10-2022/UCYBRS) | Un débordement de tampon basé sur la pile dans Fortinet FortiWeb version 6.3.14 et inférieure, 6.2.4 et inférieure permet à l'attaquant d'exécuter du code ou des commandes non autorisés via des paramètres spécialement conçus dans l'exécution de la commande CLI (CVSS : 6.5) (Dernière mise à jour : 2021-09-14 ) | lien |
| 02-11-2021 | CVE-2021-36172 | (V173/14-10-2022/UCYBRS) | Une restriction inappropriée de la vulnérabilité de référence d'entité externe XML dans l'analyseur de réponses XML de FortiPortal avant 6.0.6 peut permettre à un attaquant qui contrôle le producteur de rapports XML consommés par FortiPortal de provoquer un déni de service ou de lire des fichiers arbitraires du système de fichiers sous-jacent. au moyen de documents XML spécialement conçus. (CVSS:6.4) (Dernière mise à jour :2021-11-04) | lien |
| 01-03-2022 | CVE-2021-36171 | (V172/14-10-2022/UCYBRS) | L'utilisation d'un générateur de nombres pseudo-aléatoires cryptographiquement faibles dans la fonction de réinitialisation du mot de passe de FortiPortal avant la version 6.0.6 peut permettre à un attaquant distant non authentifié de prédire des parties ou la totalité du mot de passe nouvellement généré dans un laps de temps donné. (CVSS:6.8) (Dernière mise à jour :2022-03-09) | lien |
