Fortinet FortiWeb 7.0.x (7.0.11 より前)、7.2.x (7.2.11 より前)、7.4.x (7.4.8 より前)、7.6.x (7.6.4 より前) は、事前認証 SQL インジェクションに脆弱であり、リモートコードの実行を引き起こす可能性があります。この脆弱性を悪用することで、リモートの認証されていない攻撃者が悪意のある SQL クエリを FortiWeb Fabric Connector に挿入し、影響を受けるシステムを完全に侵害する可能性があります。

Fortinet FortiWeb 7.0.x < 7.0.11、7.2.x < 7.2.11、7.4.x < 7.4.8、7.6.x < 7.6.4 容易受到會導致遠端程式碼執行的預先驗證 SQL 插入攻擊影響。未經驗證的遠端攻擊者會利用此弱點，將惡意 SQL 查詢插入 FortiWeb Fabric Connector，並完全入侵受影響的系統。

Fortinet FortiWeb 7.0.x < 7.0.11, 7.2.x < 7.2.11, 7.4.x < 7.4.8, 7.6.x < 7.6.4 is vulnerable to a pre-authentication SQL injection that can lead to remote code execution. By leveraging this vulnerability, a remote and unauthenticated attacker can inject malicious SQL queries into the FortiWeb Fabric Connector and fully compromise the affected system.

Fortinet FortiWeb 7.0.x < 7.0.11、7.2.x < 7.2.11、7.4.x < 7.4.8、7.6.x < 7.6.4 容易受到预身份验证 SQL 注入的影响，此漏洞可导致远程代码执行。通过利用此漏洞，未经身份验证的远程攻击者可以将恶意 SQL 查询注入 FortiWeb Fabric Connector，并完全破坏受影响的系统。

遠端主機上安裝的 FortiWeb 低於測試版本，因此，它受到 FG-IR-25-151 公告中提及的一個弱點影響。

  - 在 FortiWeb 中發現 SQL 指令中使用的特殊元素中和不當 (「SQL注入」) 漏洞 [CWE-89]，可能允許未認證的攻擊者透過製作的HTTP或HTTPs請求執行未經授權的SQL程式碼或指令。(CVE-2025-25257)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートホストにインストールされている FortiWeb のバージョンは、テスト済みバージョンより前です。したがって、FG-IR-25-151 のアドバイザリに記載されている脆弱性の影響を受けます。

  - FortiWeb の SQL コマンドで使用される特別な要素の不適切な無効化 (「SQL インジェクション」) の脆弱性 [CWE-89] により、認証されていない攻撃者が細工した HTTP または HTTPs リクエストを介して、認証されていない SQL コードまたはコマンドを実行する可能性があります。(CVE-2025-25257)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of FortiWeb installed on the remote host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the FG-IR-25-151 advisory.

  - An improper neutralization of special elements used in an SQL command ('SQL Injection') vulnerability     [CWE-89] in FortiWeb may allow an unauthenticated attacker to execute unauthorized SQL code or commands     via crafted HTTP or HTTPs requests. (CVE-2025-25257)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

远程主机安装的 FortiWeb 版本低于测试版本。因此，它受到 FG-IR-25-151 公告中提及的一个漏洞影响。

  - FortiWeb 中存在对 SQL 命令中使用的特殊元素中和不当（“SQL 注入”）漏洞 [CWE-89]，未经身份验证的攻击者可通过伪造的 HTTP 或 HTTPs 请求执行未经授权的 SQL 代码或命令。(CVE-2025-25257)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名稱	產品	系列	已發布	已更新	嚴重性
114922	Fortinet FortiWeb の Fabric Connector の SQL インジェクション	Web App Scanning	Component Vulnerability	2025/7/24	2025/7/24	critical
114922	Fortinet FortiWeb Fabric Connector SQL 插入攻擊	Web App Scanning	Component Vulnerability	2025/7/24	2025/7/24	critical
114922	Fortinet FortiWeb Fabric Connector SQL Injection	Web App Scanning	Component Vulnerability	2025/7/24	2025/7/24	critical
114922	Fortinet FortiWeb Fabric Connector SQL 注入	Web App Scanning	Component Vulnerability	2025/7/24	2025/7/24	critical
241525	Fortinet FortiWeb sqli (FG-IR-25-151)	Nessus	Firewalls	2025/7/8	2025/7/18	critical
241525	Fortinet FortiWeb sqli (FG-IR-25-151)	Nessus	Firewalls	2025/7/8	2025/7/18	critical
241525	Fortinet FortiWeb sqli (FG-IR-25-151)	Nessus	Firewalls	2025/7/8	2025/7/18	critical
241525	Fortinet FortiWeb：sqli (FG-IR-25-151)	Nessus	Firewalls	2025/7/8	2025/7/18	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical