跳到主要内容

超危

Fortinet FortiClientEMS DAS组件SQL注入漏洞

2024-03-12 15:09:18 公开 ，2026-02-27 10:16:12 更新

  • CISA KEV
  • 关键漏洞
  • 勒索软件漏洞
  • APT漏洞
  • CWE Top 25 (2023)
  • 无需认证
  • 远程
  • 公开PoC
  • CWE Top 25 (2024)
  • 2025两高一弱漏洞
CWEs：
CWE-89 （SQL Injection）
CAPEC：
CAPEC-108 （Command Line Execution through SQL Injection） 、 CAPEC-109 （Object Relational Mapping Injection） 、 CAPEC-110 （SQL Injection through SOAP Parameter Tampering） 、 CAPEC-470 （Expanding Control over the Operating System from the Database） 、 CAPEC-66 （SQL Injection） 、 CAPEC-7 （Blind SQL Injection）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2024-08-16 12:01:14

风险信息

CVSS v3 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3 风险值
9.8
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:U/RC:C
CVSS v3.1 风险值
9.8

详细信息

漏洞类型
SQL注入
漏洞描述
Fortinet FortiClientEMS版本7.2.0至7.2.2，FortiClientEMS 7.0.1至7.0.10中sql命令(sql注入)中使用的特殊元素被不当中和，允许攻击者通过特制的数据包执行未经授权的代码或命令。
修复建议
1、请升级至FortiClientEMS 7.2.3、7.0.11或更高版本有关修补程序、升级或建议的解决方法信息，请参阅FortiGuard Advisory FG-IR-24-007。参考链接： 2、FMWP db update 27.750中提供了名为FG-VD-54509.0day：FortiClientEMS.DAS.SQL.Injection的虚拟修补程序。 https://www.fortiguard.com/psirt/FG-IR-24-007

参考链接