exploitDog

CVE-2025-22254

Опубликовано: 10 июн. 2025

Источник: nvd

CVSS3: 6.6

CVSS3: 7.2

EPSS Низкий

Описание

An Improper Privilege Management vulnerability [CWE-269] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.1, FortiOS 7.4.0 through 7.4.6, FortiOS 7.2.0 through 7.2.10, FortiOS 7.0.0 through 7.0.16, FortiOS 6.4.0 through 6.4.15, FortiProxy 7.6.0 through 7.6.1, FortiProxy 7.4.0 through 7.4.7, FortiWeb 7.6.0 through 7.6.1, FortiWeb 7.4.0 through 7.4.6 allows an authenticated attacker with at least read-only admin permissions to gain super-admin privileges via crafted requests to Node.js websocket module.

Ссылки

https://fortiguard.fortinet.com/psirt/FG-IR-25-006
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*

Версия от 6.4.0 (включая) до 6.4.16 (исключая)

cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*

Версия от 7.0.0 (включая) до 7.0.17 (исключая)

cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*

Версия от 7.2.0 (включая) до 7.2.11 (исключая)

cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*

Версия от 7.4.0 (включая) до 7.4.7 (исключая)

cpe:2.3:o:fortinet:fortios:*:*:*:*:*:*:*:*

Версия от 7.6.0 (включая) до 7.6.2 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:fortinet:fortiproxy:*:*:*:*:*:*:*:*

Версия от 7.4.0 (включая) до 7.4.8 (исключая)

cpe:2.3:a:fortinet:fortiproxy:*:*:*:*:*:*:*:*

Версия от 7.6.0 (включая) до 7.6.2 (исключая)

Конфигурация 3

Одно из

cpe:2.3:a:fortinet:fortiweb:*:*:*:*:*:*:*:*

Версия от 7.4.0 (включая) до 7.4.7 (исключая)

cpe:2.3:a:fortinet:fortiweb:*:*:*:*:*:*:*:*

Версия от 7.6.0 (включая) до 7.6.2 (исключая)

EPSS

Процентиль: 51%

0.00712

Низкий

6.6 Medium

CVSS3

7.2 High

CVSS3

Дефекты

CWE-269

Связанные уязвимости

GHSA-r2j8-539m-45q5

CVSS3: 6.6

github

около 1 года назад

An Improper Privilege Management vulnerability [CWE-269] affecting Fortinet FortiOS version 7.6.0 through 7.6.1, 7.4.0 through 7.4.6, 7.2.0 through 7.2.10, 7.0.0 through 7.0.16 and before 6.4.15, FortiProxy version 7.6.0 through 7.6.1 and before 7.4.7 & FortiWeb version 7.6.0 through 7.6.1 and before 7.4.6 allows an authenticated attacker with at least read-only admin permissions to gain super-admin privileges via crafted requests to Node.js websocket module.

BDU:2025-12655

CVSS3: 6.6

fstec

около 1 года назад

Уязвимость межсетевого экрана веб-приложений FortiWeb, операционных систем FortiOS и прокси-сервера для защиты от интернет-атак FortiProxy, связанная с ошибками при управлении привилегиями, позволяющая нарушителю повысить свои привилегии

EPSS

Процентиль: 51%

0.00712

Низкий

6.6 Medium

CVSS3

7.2 High

CVSS3

Дефекты

CWE-269