خلاصه و پیش‌شرط‌ها
نقص خنثی‌سازی ورودی فرمان در FortiSandbox می‌تواند به اجرای فرمان بدون احراز هویت از مسیر درخواست HTTP منجر شود. رکورد برای FortiSandbox، FortiSandbox Cloud و FortiSandbox PaaS بازه‌های جدا ثبت کرده است. نوع استقرار در انتخاب اقدام اصلاحی اهمیت دارد.
شدت، منبع امتیاز و تاریخ‌ها
امتیاز ثبت‌شده در رکورد: 9.1 از ۱۰، نسخه CVSS 3.1، شدت بحرانی. ارائه‌دهنده امتیاز انتخاب‌شده: fortinet. در صورت نبود امتیاز CNA، داده بخش تکمیلی رکورد استفاده شده است؛ نام ارائه‌دهنده عمداً حفظ شده است.
بردار ثبت‌شده: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
تاریخ انتشار رکورد: 2026-06-09. تاریخ افزوده‌شدن به CISA KEV: 2026-07-16. تاریخ بررسی این صفحه: 2026-10-23. انتشار این صفحه به معنی کشف تازه این آسیب‌پذیری در امروز نیست.
محصولات و نسخه‌های ثبت‌شده
FortiSandbox
- آسیب‌پذیر:
version=5.0.0; lessThanOrEqual=5.0.5; versionType=semver - آسیب‌پذیر:
version=4.4.0; lessThanOrEqual=4.4.8; versionType=semver - آسیب‌پذیر:
version=4.2.1; lessThanOrEqual=4.2.8; versionType=semver
FortiSandbox Cloud
- آسیب‌پذیر:
version=5.0.4; lessThanOrEqual=5.0.5; versionType=semver
FortiSandbox PaaS
- آسیب‌پذیر:
version=5.0.4; lessThanOrEqual=5.0.5; versionType=semver
مقادیر بالا از فیلدهای رسمی آمده‌اند؛ رشته‌هایی مانند 0 یا بازه‌های متنی را بدون اطلاعیه محصول به نسخه اجرایی خاص تبدیل نکنید. برای بسته‌های توزیع و اصلاحات بازگردانده‌شده، مرجع همان توزیع را نیز بررسی کنید.
وضعیت بهره‌برداری شناخته‌شده
این شناسه در نسخه 2026.10.21 فهرست KEV دریافت‌شده برای این بررسی وجود دارد. حضور در KEV به شواهد بهره‌برداری واقعی اشاره دارد، نه اینکه هر نصب محصول آلوده است. امتیاز CVSS، وضعیت KEV و مواجهه دارایی شما سه داده متفاوت‌اند.
اقدام دفاعی
شاخه و نوع سرویس را با اطلاعیه FG-IR-26-141 تطبیق دهید. برای سرویس میزبانی‌شده، وضعیت اصلاح را از ارائه‌دهنده همان خدمت تأیید کنید؛ برای نصب خودمیزبان، نسخه اصلاحی مناسب را نصب و دسترسی رابط‌ها را محدود کنید. امتیاز این صفحه همان مقدار ثبت‌شده منبع است، نه امتیاز محاسبه‌شده دوباره توسط تحریریه.
معیار پایان رسیدگی
پیشنهاد تحریریه ثبت نسخه واقعی پس از اصلاح، نتیجه آزمون خدمت و شواهد بازبینی رخداد است. موفقیت نصب وصله و نبود نفوذ، دو ادعای متفاوت‌اند؛ این صفحه نتیجه آزمون روی شبکه شما نیست.
