PT-2026-5008
CVE-2026-24858
·
تاريخ النشر
2026-01-27
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات FortiAnalyzer من 7.0.0 إلى 7.0.15
إصدارات FortiAnalyzer من 7.2.0 إلى 7.2.11
إصدارات FortiAnalyzer من 7.4.0 إلى 7.4.9
إصدارات FortiAnalyzer من 7.6.0 إلى 7.6.5
إصدارات FortiManager من 7.0.0 إلى 7.0.15
إصدارات FortiManager من 7.2.0 إلى 7.2.11
إصدارات FortiManager من 7.4.0 إلى 7.4.9
إصدارات FortiManager من 7.6.0 إلى 7.6.5
إصدارات FortiNAC-F من 7.6.3 إلى 7.6.5
إصدارات FortiOS من 7.0.0 إلى 7.0.18
إصدارات FortiOS من 7.2.0 إلى 7.2.12
إصدارات FortiOS من 7.4.0 إلى 7.4.10
إصدارات FortiOS من 7.6.0 إلى 7.6.5
إصدارات FortiProxy من 7.0.0 إلى 7.0.22
إصدارات FortiProxy من 7.2.0 إلى 7.2.15
إصدارات FortiProxy من 7.4.0 إلى 7.4.12
إصدارات FortiProxy من 7.6.0 إلى 7.6.4
إصدارات FortiWeb من 7.4.0 إلى 7.4.11
إصدارات FortiWeb من 7.6.0 إلى 7.6.6
إصدارات FortiWeb من 8.0.0 إلى 8.0.3
الوصف
يوجد ثغرة في نظام تسجيل الدخول الأحادي (SSO) لـ FortiCloud تسمح بتجاوز المصادقة. تتيح هذه المشكلة للمهاجم الذي يمتلك حسابًا على FortiCloud وجهازًا مسجلاً الحصول على وصول إداري غير مصرح به إلى أجهزة أخرى مسجلة بحسابات مختلفة، شريطة أن تكون مصادقة SSO لـ FortiCloud ممكّنة على الأجهزة المستهدفة. وقد تم استغلال هذا الخلل بشكل مكثف في حملة واسعة النطاق تُعرف باسم FortiBleed، والتي استهدفت ما بين 73,932 و86,644 عنوان URL فريد لجدار الحماية في 194 دولة. واستخدمت الجهات التهديدية، بما في ذلك مجموعة Mustang Panda المدعومة من الدولة الصينية، هذا الوصول لالتقاط جلسات
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾