跳到主要内容

超危

Fortinet FortiWeb SQL注入漏洞(CVE-2025-25257)

2025-07-17 15:10:04 公开 ，2026-03-04 02:26:40 更新

  • 勒索软件漏洞
  • CISA KEV
  • CWE Top 25 (2023)
  • CWE Top 25 (2024)
  • 无需认证
  • 远程
  • 公开PoC
CWEs：
CWE-89 （SQL Injection）
CAPEC：
CAPEC-108 （Command Line Execution through SQL Injection） 、 CAPEC-109 （Object Relational Mapping Injection） 、 CAPEC-110 （SQL Injection through SOAP Parameter Tampering） 、 CAPEC-470 （Expanding Control over the Operating System from the Database） 、 CAPEC-66 （SQL Injection） 、 CAPEC-7 （Blind SQL Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2025-07-18 11:55:34

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:X/RC:C
CVSS v3.1 风险值
9.8

详细信息

漏洞类型
SQL注入
漏洞描述
在Fortinet FortiWeb 7.6.0至7.6.3、7.4.0至7.4.7、7.2.0至7.2.10以及低于7.0.10的所有版本存在SQL注入漏洞。未经身份验证的攻击者可通过特制的HTTP或HTTPS请求执行未经授权的SQL代码或命令。
修复建议
请升级到FortiWeb 7.6.4、7.4.8、7.2.11、7.0.11或更高版本。参考链接： https://fortiguard.fortinet.com/psirt/FG-IR-25-151

参考链接